CVE-2026-10108 in xiaomusic
Tóm tắt
Bởi VulDB • 29/05/2026
xiaomusic v0.5.7 chứa một lỗ hổng điều hướng đường dẫn (path traversal) chưa được xác thực trong điểm cuối GET /music/{file_path:path}, cho phép các kẻ tấn công chưa xác thực đọc các tệp tùy ý bên ngoài thư mục nhạc dự định bằng cách khai thác việc kiểm tra tiền tố đường dẫn không đầy đủ. Kẻ tấn công có thể yêu cầu các tệp từ các thư mục anh em (sibling directories) có tên chia sẻ tiền tố music_path bằng cách tạo ra các chuỗi điều hướng, vượt qua hạn chế đường dẫn do thiếu dấu phân cách cuối cùng trong logic so sánh để truy xuất các tệp tùy ý từ máy chủ.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.