PT-2026-51009 · Sentriz · Gonic

Publicado 2026-06-19 · Atualizado 2026-06-19 · CVE-2026-49339

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas gonic versões anteriores a 0.21.0

Description Um usuário autenticado do Subsonic pode ignorar as verificações de propriedade para ler ou excluir playlists pertencentes a outros usuários e sondar caminhos de arquivos arbitrários no host para verificar existência ou legibilidade. Isso ocorre porque o playlist.UserID é derivado do primeiro segmento de caminho do ID da playlist, mas não há contenção de caminho no caminho do arquivo resolvido. O problema envolve a travessia de caminho (path traversal) no parâmetro id, permitindo a violação da fronteira destinada a evitar referências diretas inseguras a objetos (IDOR), que é uma vulnerabilidade onde uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário.

Recommendations Atualize para a versão 0.21.0.

Correção

IDOR

Path traversal

Enumeração de Fraquezas

CWE-639

CWE-22

Identificadores relacionados

CVE-2026-49339

Produtos afetados

Gonic

Referências · 4

• https://github.com/sentriz/gonic/commit/0824bed88f6bbc490ba28bf09d28e5dfeb07b445 · Nota
• https://github.com/sentriz/gonic/commit/6dd71e6 · Nota
• https://github.com/sentriz/gonic/security/advisories/GHSA-2fp4-5v5c-4448 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-49339 · Nota de Segurança