FICHE CVE

CVE-2026-23877

Publiée le 2026-01-19 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les instances auto-hébergées de Swing Music antérieures à la version 2.1.4 sont affectées par une faille de traversée de répertoire. Un attaquant disposant d'un compte utilisateur valide peut parcourir et lire des fichiers arbitraires sur le système de fichiers de votre serveur via le réseau. Cela nécessite une authentification, mais aucune autre interaction de l'utilisateur ni de privilèges particuliers pour être exécuté.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-25 Contrôle d'accès incorrect · CWE-284

Publiée2026-01-19

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Swing Music is a self-hosted music player for local audio files. Prior to version 2.1.4, Swing Music's `list_folders()` function in the `/folder/dir-browser` endpoint is vulnerable to directory traversal attacks. Any authenticated user (including non-admin) can browse arbitrary directories on the server filesystem. Version 2.1.4 fixes the issue.