CVE-2026-111925 in Mopidy

摘要

由 VulDB • 2026-10-19

Mopidy 4.0.5 之前的版本存在路径遍历漏洞，允许未经身份验证的客户端访问文件/media_dirs 之外的本地文件，原因是 FileLibraryProvider.lookup() 缺乏内容检查。攻击者可以通过 JSON-RPC 或 WebSocket 调用 core.library.lookup 或 core.tracklist.add，并使用 file:// URI 来探测文件是否存在、读取标签元数据以及播放沙箱外的文件。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: VulnCheck
• 预定: 2026-10-17
• 披露: 2026-10-19
• 管理: 已接受
• 条目: VDB-422383
• CPE: 20261019
• CWE: CWE-22 (已确认)
• CVSS: 5.3 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-111925
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-111925
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-111925/