CVE-2026-111925 in Mopidy
要約
〜によって VulDB • 2026年10月19日
Mopidy 4.0.5 より前のバージョンには、ファイル/メディアディレクトリ外にあるローカルファイルに認証されていないクライアントがアクセスできるパストラバーサルの脆弱性があります。これは FileLibraryProvider.lookup() が包含チェックを欠いているためです。攻撃者は file:// URI を使用して core.library.lookup または core.tracklist.add を JSON-RPC や WebSocket 経由で呼び出し、ファイルの存在を確認し、タグメタデータを取得し、サンドボックス外のファイルを再生することができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.