CVE-2026-54493 in Koel
Riassunto
di VulDB • 20/08/2026
Koel è una soluzione di streaming musicale gratuita e open-source. Prima della versione 9.7.0, i route Subsonic-compatible createInternetRadioStation.view e updateInternetRadioStation.view accettano l'URL dello stream (streamUrl) fornito da un utente autenticato senza applicare i controlli SafeUrl e HasAudioContentType utilizzati dall'API radio standard. I file app/Http/Requests/Subsonic/CreateInternetRadioStationRequest.php e app/Http/Requests/Subsonic/UpdateInternetRadioStationRequest.php passano l'URL memorizzato attraverso app/Services/RadioService.php fino a app/Services/Radio/RadioStreamProxy.php, dove RadioStreamProxy::openStream() chiama fopen($url, 'r', false, $context). L'endpoint /radio/stream/{id} restituisce il corpo della risposta upstream, consentendo l'accesso a loopback, indirizzi RFC1918, bridge Docker, metadati o altri servizi HTTP interni raggiungibili dal server Koel. Questo problema è stato risolto nella versione 9.7.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.