CVE-2025-27112 in Navidrome
Sumário
de VulDB • 30/06/2026
O Navidrome é um servidor de coleção e streaming de música baseado na web e de código aberto. A partir da versão 0.52.0 até antes da versão 0.54.5, em determinados endpoints da API Subsonic, uma falha no processo de verificação de autenticação permite que um atacante especifique qualquer nome de usuário arbitrário que não exista no sistema, juntamente com o hash salgado de uma senha vazia. Nessas condições, o Navidrome trata a solicitação como autenticada, concedendo acesso a vários endpoints do Subsonic sem exigir credenciais válidas. Um atacante pode usar qualquer nome de usuário inexistente para contornar o sistema de autenticação e obter acesso a diversos dados somente leitura no Navidrome, como playlists de usuários. No entanto, quaisquer tentativas de modificar os dados falham com um erro "permissão negada" devido à falta de permissões suficientes, limitando o impacto ao visualização não autorizada das informações. A versão 0.54.5 contém uma correção para este problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.