PT-2026-44495 · Unknown · Music Player Daemon

Daniele Berardinelli + 1 · CVE-2026-49128 · Publicado 2026-05-28 · Atualizado 2026-05-28

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Music Player Daemon (MPD) versões anteriores a 0.24.11

Descrição Um problema de path traversal existe no plugin de armazenamento local nas funções LocalStorage::MapFSOrThrow() e LocalStorage::MapUTF8(). A falha ocorre porque o caminho no disco é criado juntando a raiz do armazenamento com uma URI fornecida pelo usuário como strings simples sem canonicalização, permitindo que segmentos '..' permaneçam no caminho resolvido. Um invasor não autenticado pode usar o comando 'listfiles' para enumerar nomes, tamanhos e tempos de modificação de diretórios arbitrários legíveis pelo processo MPD, ou o comando 'albumart' para ler arquivos de imagem em qualquer diretório fora do music directory configurado.

Recomendações Atualize para a versão 0.24.11 ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-49128

Produtos afetados

Music Player Daemon

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/49xxx/CVE-2026-49128.json · Exploit
• 🔥 https://github.com/MusicPlayerDaemon/MPD/issues/2484 · Exploit
• 🔥 https://mstreet97.github.io/security-research/opensource/vulnerability-disclosure/cybersecurity/cve/2026/05/25/Four_Bugs_Reachable_nc.html · Exploit
• https://github.com/MusicPlayerDaemon/MPD/commit/0b5315b9e5a42cb0e88bf46a7579bb5641543f60 · Correção
• https://github.com/MusicPlayerDaemon/MPD/releases/tag/v0.24.11 · Nota
• https://github.com/MusicPlayerDaemon/MPD · Nota
• https://twitter.com/CVEnew/status/2060091934119444550 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-49128 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-49128 · Aviso do Fabricante
• https://vulncheck.com/advisories/music-player-daemon-path-traversal-via-localstorage-uri-handling · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-49128 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-49128 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-49128 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-49128 · Nota de Segurança
• https://musicpd.org/news/2026/05/mpd-0-24-11-released · Correção