CVE-2026-49129
Açıklama
0.24.11 sürümünden önceki Music Player Daemon (MPD), CurlInputPlugin bileşeninde CURLOPT_FOLLOWLOCATION'ın CURLOPT_REDIR_PROTOCOLS_STR olmadan ayarlanmasından kaynaklanan bir sunucu tarafı istek sahteciliği (SSRF) zafiyeti içermektedir; bu durum, kimliği doğrulanmamış saldırganların kötü amaçlı bir HTTP sunucusunu gopher, ftp, sftp, ldap, dict, rtmp veya rtsp gibi HTTP dışı protokollere yönlendirerek http/https şema kısıtlamasını atlatmalarına olanak tanır. Saldırganlar, libcurl 7.85.0 öncesi sürümlerini çalıştıran sistemlerde dahili veya kısıtlanmış ağ servisleriyle etkileşime girmek için add, readcomments, albumart, readpicture veya load dahil olmak üzere URL getirme işlemlerini başlatan MPD komutları aracılığıyla bu zafiyeti tetikleyebilirler.
Nasıl düzeltilir
- MusicPlayerDaemon MPD0.24.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| MusicPlayerDaemon MPD | v < 0.24.11 | 0.24.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.