CVE-2026-111925 in Mopidy
Zusammenfassung
von VulDB • 19.10.2026
Mopidy vor Version 4.0.5 enthält eine Path Traversal-Schwachstelle, die es nicht authentifizierten Clients ermöglicht, auf lokale Dateien außerhalb der Verzeichnisse in `file/media_dirs` zuzugreifen, da `FileLibraryProvider.lookup()` keine Containment-Prüfung durchführt. Angreifer können über JSON-RPC oder WebSocket Aufrufe an `core.library.lookup` oder `core.tracklist.add` mit `file://`-URIs durchführen, um das Vorhandensein von Dateien zu prüfen, Tag-Metadaten auszulesen und Dateien außerhalb des Sandboxes abzuspielen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.