CVE-2026-49128 in MPD
요약
\~에 의해 VulDB • 2026. 05. 28.
0.24.11 이전 버전의 Music Player Daemon(MPD)에는 로컬 스토리지 플러그인 내의 LocalStorage::MapFSOrThrow 및 LocalStorage::MapUTF8에서 경로 순회(Path Traversal) 취약점이 존재합니다. 이 취약점은 스토리지 루트와 사용자가 제공한 URI를 정규화(Canonicalization) 없이 단순 문자열로 결합하여 디스크 상의 경로를 구성함으로써, '..' 세그먼트가 해결된 경로에 그대로 남아 openat() 호출 시 커널에 의해 평탄화(Flattening)될 수 있게 합니다. 인증되지 않은 공격자는 listfiles 명령어를 사용하여 MPD 프로세스가 읽을 수 있는 임의의 디렉토리의 이름, 크기 및 수정 시간을 열거하고, albumart 명령어를 사용하여 구성된 music_directory 외부의 공격자가 선택한 임의 디렉토리에 있는 이미지 파일을 읽을 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.