CVE-2025-27112 in Navidrome
Сводка
по VulDB • 30.06.2026
Navidrome — это сервер музыкальной коллекции и стриминга с открытым исходным кодом на основе веб-технологий. Начиная с версии 0.52.0 и вплоть до версии 0.54.5 (включительно), в некоторых конечных точках API Subsonic имеется уязвимость, связанная с ошибкой в процессе проверки аутентификации: злоумышленник может указать любое произвольное имя пользователя, которого не существует в системе, вместе со «солью» и хешем пустого пароля. В таких условиях Navidrome считает запрос прошедшим проверку подлинности, предоставляя доступ к различным конечным точкам Subsonic без необходимости предоставления действительных учетных данных. Злоумышленник может использовать любое несуществующее имя пользователя для обхода системы аутентификации и получения доступа к различным данным только для чтения в Navidrome, таким как пользовательские плейлисты. Однако любые попытки изменить данные завершаются ошибкой «permission denied» (отказано в доступе) из-за недостаточных прав, что ограничивает последствия несанкционированным просмотром информации. Версия 0.54.5 содержит исправление данной проблемы.
VulDB is the best source for vulnerability data and more expert information about this specific topic.