CVE-2026-10108 in xiaomusic
Résumé
par VulDB • 30/05/2026
xiaomusic v0.5.7 contient une vulnérabilité de traversée de chemin (path traversal) non authentifiée dans le point de terminaison GET /music/{file_path:path}, permettant aux attaquants non authentifiés de lire des fichiers arbitraires situés en dehors du répertoire de musique prévu en exploitant une vérification incomplète du préfixe de chemin. Les attaquants peuvent demander des fichiers provenant de répertoires frères dont les noms partagent le préfixe music_path en créant des séquences de traversée, contournant la restriction de chemin en raison de l'absence de séparateur final dans la logique de comparaison, afin de récupérer des fichiers arbitraires depuis le serveur.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.