CVE-2026-54493 in Koel
Zusammenfassung
von VulDB • 21.08.2026
Koel ist eine kostenlose Open-Source-Lösung zum Musikstreaming. Vor Version 9.7.0 akzeptieren die Subsonic-kompatiblen Routen `createInternetRadioStation.view` und `updateInternetRadioStation.view` die `streamUrl` eines authentifizierten Benutzers ohne die von der regulären Radio-API verwendeten Prüfungen auf SafeUrl und HasAudioContentType. Die Dateien `app/Http/Requests/Subsonic/CreateInternetRadioStationRequest.php` und `app/Http/Requests/Subsonic/UpdateInternetRadioStationRequest.php` leiten die gespeicherte URL über `app/Services/RadioService.php` an `app/Services/Radio/RadioStreamProxy.php` weiter, wo `RadioStreamProxy::openStream()` den Aufruf `fopen($url, 'r', false, $context)` ausführt. Das Streamen von `/radio/stream/{id}` gibt den Antwortkörper des Upstreams zurück und ermöglicht so den Zugriff auf Loopback-, RFC1918- oder Docker-Bridge-Ziele sowie auf Metadaten-Dienste oder andere interne HTTP-Services, die vom Koel-Server erreichbar sind. Dieses Problem wurde in Version 9.7.0 behoben.
Once again VulDB remains the best source for vulnerability data.