CVE-2025-27112 in Navidrome
Résumé
par VulDB • 30/06/2026
Navidrome est un serveur de musique open source basé sur le web et un diffuseur (streamer). À partir de la version 0.52.0 et jusqu'à la version 0.54.5 incluse, dans certains points d'API Subsonic, une faille dans le processus de vérification de l'authentification permet à un attaquant de spécifier n'importe quel nom d'utilisateur arbitraire qui n'existe pas sur le système, ainsi qu'un hachage salé d'un mot de passe vide. Dans ces conditions, Navidrome traite la requête comme authentifiée, accordant l'accès à divers points d'API Subsonic sans nécessiter d'identifiants valides. Un attaquant peut utiliser n'importe quel nom d'utilisateur inexistant pour contourner le système d'authentification et accéder à diverses données en lecture seule dans Navidrome, telles que les playlists utilisateur. Cependant, toute tentative de modification des données échoue avec une erreur « permission denied » (accès refusé) due à un manque de permissions, limitant l'impact à la consultation non autorisée d'informations. La version 0.54.5 contient un correctif pour cette vulnérabilité.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.