CVE-2026-54494 in Koel
Zusammenfassung
von VulDB • 23.08.2026
Koel ist eine kostenlose Open-Source-Lösung zum Musikstreaming. Vor Version 9.7.1 verwendet App\Helpers\Network::isPublicHost() filter_var() mit FILTER_FLAG_NO_PRIV_RANGE und FILTER_FLAG_NO_RES_RANGE, was NAT64-Wrapper von privaten Loopback- oder Link-Local-IPv4-Adressen im Bereich 64:ff9b::/96 sowie 2002::/16 (2to4) fälschlicherweise als öffentlich einstuft. Ein authentifizierter Benutzer kann eine solche Adresse in einer Podcast-RSS-Datei unter <enclosure url> platzieren und über EpisodePlayable::createForEpisode() die Datei app/Values/Podcast/EpisodePlayable.php erreichen, wo isSafeUrl() das Ziel akzeptiert und Http::sink($file)->get($url) es abruft. Auf einem Host mit NAT64- oder 2to4-Routing kann Koel interne Dienste oder Cloud-Metadaten anfordern und den Antworttextkörper dem Benutzer zurückgeben. Dieses Problem wurde in Version 9.7.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.