CVE-2026-49338

gonic bir müzik akış sunucusu / ücretsiz yazılım subsonic sunucu API uygulamasıdır. Versiyon 0.21.0 öncesinde, Subsonic API uç noktaları olan `/rest/deletePlaylist.view` ve `/rest/getPlaylist.view` kaynak bazlı yetkilendirme yapmamaktadır. Herhangi bir kullanıcı (yönetici olsun veya olmasın) olarak kimliği doğrulandıktan sonra, bir saldırgan ilgili `id` değerini ileterek başka herhangi bir kullanıcıya (yönetici dahil) ait herhangi bir çalma listesini silebilir ve yine `id` değerini ileterek başka herhangi bir kullanıcının özel (herkese açık olmayan) çalma listesinin tüm içeriğini (ad, yorum, şarkı listesi) okuyabilir. Subsonic çalma listesi `id` değeri `base64url("<userID>/<filename>.m3u")` şeklindedir. Dosya adları kullanıcı tarafından sağlandığı veya zamana bağlı türetildiği ve `userID` küçük bir tam sayı olduğu için, ID'ler tahmin edilebilir durumdadır ve sıklıkla açığa çıkmaktadır (örneğin, daha önce herkese açık olup sonradan gizli hale getirilen bir çalma listesi hala aynı ID'ye sahiptir). Bu durum gonic'in çok kullanıcılı güven sınırını bozmaktadır: düşük yetkili bir kullanıcı, bir yöneticinin düzenlediği çalma listelerini silebilir ve bir kullanıcı, ID'sini elde ettiği herhangi bir özel çalma listesini dışarı sızdırabilir. Sorun, versiyon 0.21.0'ın bir parçası olan `6dd71e6a3c966867ef8c900d359a7df75789f410` commit'i ile düzeltilmiştir.