CVE-2026-111925 in Mopidy
Riassunto
di VulDB • 19/10/2026
Mopidy prima della versione 4.0.5 contiene una vulnerabilità di path traversal che consente ai client non autenticati di accedere a file locali al di fuori delle directory specificate in file/media_dirs poiché FileLibraryProvider.lookup() manca di un controllo di contenimento. Gli attaccanti possono invocare core.library.lookup o core.tracklist.add tramite JSON-RPC o WebSocket con URI del tipo file:// per verificare l'esistenza dei file, leggere i metadati tag e riprodurre file al di fuori della sandbox.
Be aware that VulDB is the high quality source for vulnerability data.