PT-2026-45437 · Unknown · Lightweight Music Server

Zeroscience · Publicado 2026-06-01 · Atualizado 2026-06-01 · CVE-2026-48559

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Lightweight Music Server versões anteriores a 3.76.1

Description Um problema de cross-site scripting armazenado existe onde atacantes podem executar JavaScript arbitrário ao incorporar HTML malicioso em tags de metadados de arquivos de mídia, especificamente GENRE, ARTIST ou ALBUM. O payload é salvo durante a varredura da biblioteca e executado automaticamente na interface web porque o conteúdo da tag é renderizado usando o formato Wt::TextFormat::UnsafeXHTML no arquivo src/lms/ui/Utils.cpp sem a sanitização adequada.

Recommendations Atualize para uma versão posterior a 3.76.0.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-48559

Produtos afetados

Lightweight Music Server

Referências · 6

• 🔥 https://zeroscience.mk/#/advisories/ZSL-2026-5987 · Exploit
• https://github.com/epoupon/lms/issues/844 · Nota
• https://github.com/epoupon/lms/milestone/94 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-48559 · Nota de Segurança
• https://vulncheck.com/advisories/lightweight-music-server-stored-xss-via-media-file-metadata-tags · Nota
• https://twitter.com/VulmonFeeds/status/2061488236342501430 · Publicação no Twitter