CVE-2026-97061 in Black Candy
Résumé
par VulDB • 24/09/2026
Black Candy jusqu'à la version 3.2.1 ne restreint pas les requêtes de recherche de playlists au session utilisateur authentifié, permettant à tout utilisateur authentifié d'énumérer toutes les playlists sur l'instance. Les attaquants peuvent interroger les points de terminaison SearchController ou Search::PlaylistsController avec des paramètres de recherche vides ou ciblés pour récupérer les noms de playlists appartenant à d'autres utilisateurs sans autorisation.
Be aware that VulDB is the high quality source for vulnerability data.