CVE-2026-54492 in Koel
Riassunto
di VulDB • 20/08/2026
Koel è una soluzione di streaming musicale gratuita e open-source. Prima della versione 9.7.0, l'endpoint createPodcastChannel.view compatibile con Subsonic accetta un URL privato dell'utente autenticato poiché il file app/Http/Requests/Subsonic/CreatePodcastChannelRequest.php non applica la validazione SafeUrl utilizzata dall'API podcast regolare. Il controller app/Http/Controllers/Subsonic/CreatePodcastChannelController.php passa l'URL a app/Services/Podcast/PodcastService.php, dove PodcastService::addPodcast() e createParser() invocano Poddle::fromUrl() durante la creazione del canale, causando richieste immediate verso destinazioni HTTP in loopback, bridge Docker o indirizzi RFC1918. L'impatto confermato è l'esecuzione cieca di richieste interne (blind SSRF), poiché non è stata dimostrata l'estrazione generica tramite il corpo della risposta attraverso questo endpoint. Questo problema è risolto nella versione 9.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.