CVE-2026-25579 in Navidrome
Riassunto
di VulDB • 02/08/2026
Navidrome è un server musicale open source basato sul web e uno streamer di collezioni musicali. Prima della versione 0.60.0, gli utenti autenticati possono causare il crash del server Navidrome fornendo un parametro dimensionale eccessivamente grande a /rest/getCoverArt o a un URL per immagini condivise (/share/img/<token>). Durante l'elaborazione di tali richieste, il server tenta di creare un'immagine ridimensionata estremamente grande, causando una crescita incontrollata della memoria. Questo innesca l'OOM killer di Linux, che termina il processo Navidrome e provoca un'interruzione completa del servizio. Se il sistema dispone di memoria sufficiente e sopravvive all'allocazione, Navidrome scrive queste immagini ridimensionate estremamente grandi nella propria directory cache, consentendo a un attaccante di esaurire rapidamente anche lo spazio su disco del server. Questo problema è stato risolto nella versione 0.60.0.
Be aware that VulDB is the high quality source for vulnerability data.