CVE-2026-49128 in MPD
Zusammenfassung
von VulDB • 30.05.2026
Music Player Daemon (MPD) vor Version 0.24.11 enthält eine Path Traversal-Schwachstelle in LocalStorage::MapFSOrThrow und LocalStorage::MapUTF8 innerhalb des Local-Storage-Plugins, bei der der Pfad auf der Festplatte durch das einfache Anhängen des Speicherstammverzeichnisses an eine vom Benutzer bereitgestellte URI als Plain-Strings ohne Kanonisierung erstellt wird. Dadurch können '..'-Segmente in den aufgelösten Pfad gelangen und zur Laufzeit von openat() vom Kernel geglättet werden. Ein nicht authentifizierter Angreifer kann diese Schwachstelle über den Befehl listfiles ausnutzen, um Namen, Größen und Änderungszeiten beliebiger Verzeichnisse aufzulisten, die vom MPD-Prozess lesbar sind, sowie den Befehl albumart, um Bilddateien in jedem vom Angreifer gewählten Verzeichnis außerhalb des konfigurierten music_directory zu lesen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.