CVE-2026-120441
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions d'OwnTone Server allant jusqu'à la version 29.3 incluse sont concernées. Ce logiciel fait office d'interface web pour Music Player Daemon (MPD) afin de gérer des bibliothèques multimédias. Une faille dans la fonction `mpd_sticker_find()` permet à un utilisateur d'injecter des commandes SQL malveillantes via l'argument URI.
Un attaquant peut exploiter cette vulnérabilité pour contourner les restrictions de chemin et lister tous les fichiers multimédias, y compris leurs chemins complets dans le système de fichiers et leurs métadonnées. Cela impacte la confidentialité de votre structure de fichiers, mais ne permet ni la modification de données ni le plantage du système. L'attaque est relativement facile à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur, seulement un accès réseau au port TCP 6600.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OwnTone Server through 29.3 contains an sql injection vulnerability in mpd_sticker_find() in src/mpd.c that allows unauthenticated remote attackers to inject SQL via the URI argument. Attackers can send a crafted 'sticker find song' command to the MPD listener on TCP port 6600 to bypass path restrictions and enumerate all media files with filesystem paths and metadata.