CVE-2025-27112 in Navidrome
요약
\~에 의해 VulDB • 2026. 06. 30.
Navidrome는 오픈 소스 기반의 웹 음악 컬렉션 서버 및 스트리머입니다. 버전 0.52.0부터 0.54.5 이전까지, 특정 Subsonic API 엔드포인트에서 인증 확인 프로세스에 결함이 있어 공격자가 시스템에 존재하지 않는 임의의 사용자 이름을 지정하고 빈 비밀번호의 솔트 해시(salted hash)를 제공할 수 있습니다. 이러한 조건 하에서 Navidrome는 해당 요청을 인증된 것으로 처리하여 유효한 자격 증명을 요구하지 않고도 다양한 Subsonic 엔드포인트에 대한 접근 권한을 부여합니다. 공격자는 존재하지 않는 사용자 이름을 사용하여 인증 시스템을 우회하고, Navidrome의 사용자 플레이리스트와 같은 읽기 전용 데이터에 무단으로 액세스할 수 있습니다. 그러나 권한이 부족하여 데이터를 수정하려는 모든 시도는 "permission denied" 오류로 실패하므로, 영향은 정보의 무단 열람으로 제한됩니다. 버전 0.54.5에는 이 문제에 대한 패치가 포함되어 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.