CVE-2025-27112 in Navidrome
Zusammenfassung
von VulDB • 30.06.2026
Navidrome ist ein quelloffener, webbasierter Server und Streamer für Musiksammlungen. Ab der Version 0.52.0 bis einschließlich vor Version 0.54.5 ermöglicht eine Schwachstelle im Prozess der Authentifizierungsprüfung bei bestimmten Subsonic-API-Endpunkten es einem Angreifer, einen beliebigen Benutzernamen anzugeben, der nicht auf dem System existiert, zusammen mit einer gesalzenen Hash-Wert eines leeren Passworts. Unter diesen Bedingungen behandelt Navidrome die Anfrage als authentifiziert und gewährt Zugriff auf verschiedene Subsonic-Endpunkte ohne gültige Anmeldeinformationen. Ein Angreifer kann jeden nicht vorhandenen Benutzernamen verwenden, um das Authentifizierungssystem zu umgehen und auf schreibgeschützte Daten in Navidrome zuzugreifen, wie beispielsweise Benutzerwiedergabelisten. Jeder Versuch zur Änderung von Daten schlägt jedoch aufgrund unzureichender Berechtigungen mit einem „Zugriff verweigert“-Fehler fehl, wodurch die Auswirkungen auf den unbefugten Zugriff zum Anzeigen von Informationen beschränkt bleiben. Die Version 0.54.5 enthält einen Patch für dieses Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.