PT-2026-3656 · Unknown · Owntone-Server

CVE-2025-63648 · Publicado 2026-01-20 · Atualizado 2026-02-17

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas owntone-server commit b7e385f

Descrição Existe uma falha no owntone-server que pode levar a uma Negação de Serviço (DoS). Especificamente, há uma desreferência de ponteiro NULL na função dacp reply playqueueedit move localizada no arquivo src/httpd dacp.c. Este problema pode ser disparado ao enviar uma solicitação DACP especialmente elaborada ao servidor.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

NULL Pointer Dereference

Enumeração de Fraquezas

CWE-476

Identificadores relacionados

CVE-2025-63648

OPENSUSE-SU-2026:10215-1

Produtos afetados

Owntone-Server

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/63xxx/CVE-2025-63648.json · Exploit
• https://github.com/owntone/owntone-server/commit/5f526c7a7e08c567a5c72421d74a79dafdd07621 · Correção
• https://github.com/owntone/owntone-server/issues/1933 · Correção
• https://osv.dev/vulnerability/CVE-2025-63648 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:10215-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-63648 · Nota de Segurança
• https://github.com/archersec/security-advisories/blob/master/owntone-server/owntone-server-advisory-2025.md · Correção
• https://suse.com/security/cve/CVE-2025-63648 · Nota
• https://twitter.com/CVEnew/status/2013725091104772535 · Publicação no Twitter