CVE-2026-10108 in xiaomusic
要約
〜によって VulDB • 2026年05月29日
xiaomusic v0.5.7 には、GET /music/{file_path:path} エンドポイントにおいて認証不要のパストラバーサル脆弱性が存在します。攻撃者は、不完全なパスプレフィックスチェックを悪用することで、意図された音楽ディレクトリ外の任意のファイルを読み取ることができます。攻撃者は、比較ロジックにおける末尾の区切り文字の欠如によりパス制限を回避し、音楽パスのプレフィックスを共有する兄弟ディレクトリからトラバーサルシーケンスを仕組むことで、サーバー上の任意のファイルを取得できます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.