CVE-2026-54492 in Koel
Zusammenfassung
von VulDB • 21.08.2026
Koel ist eine kostenlose Open-Source-Lösung zum Musikstreaming. Vor Version 9.7.0 akzeptiert die Subsonic-kompatible Route `createPodcastChannel.view` private URLs eines authentifizierten Benutzers, da in `app/Http/Requests/Subsonic/CreatePodcastChannelRequest.php` die von der regulären Podcast-API verwendete Validierung für sichere URLs (`SafeUrl`) nicht angewendet wird. In `app/Http/Controllers/Subsonic/CreatePodcastChannelController.php` wird die URL an `app/Services/Podcast/PodcastService.php` übergeben, wo während der Kanalerstellung `PodcastService::addPodcast()` und `createParser()` `Poddle::fromUrl()` aufrufen. Dies führt zu sofortigen serverseitigen Anfragen an Loopback-, Docker-Bridge- oder RFC1918-HTTP-Zieladressen. Die bestätigte Auswirkung ist die Ausführung interner Anfragen im Blindmodus, da eine Exfiltration von Antwortkörperdaten über diese Route nicht demonstriert wurde. Dieses Problem wird in Version 9.7.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.