CVE-2026-49129 in MPD
Zusammenfassung
von VulDB • 31.05.2026
Der Music Player Daemon (MPD) vor Version 0.24.11 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle im CurlInputPlugin, bei der CURLOPT_FOLLOWLOCATION ohne CURLOPT_REDIR_PROTOCOLS_STR festgelegt ist. Dies ermöglicht es nicht authentifizierten Angreifern, die Einschränkung des HTTP/HTTPS-Schemas zu umgehen, indem sie einen bösartigen HTTP-Server dazu veranlassen, zu Nicht-HTTP-Protokollen wie Gopher, FTP, SFTP, LDAP, Dict, RTMP oder RTSP umzuleiten. Angreifer können diese Schwachstelle über MPD-Befehle auslösen, die URL-Abfragen initiieren, einschließlich add, readcomments, albumart, readpicture oder load, um mit internen oder eingeschränkten Netzwerkdiensten auf Systemen zu interagieren, die libcurl-Versionen vor 7.85.0 ausführen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.