CVE-2024-47062

Résumé

Navidrome est un serveur et lecteur de collection musicale open source basé sur le web. Navidrome ajoute automatiquement les paramètres de l'URL aux requêtes SQL. Cela peut être exploité pour accéder à des informations en ajoutant des paramètres comme `password=...` dans l'URL (fuite ORM). De plus, les noms des paramètres ne sont pas correctement échappés, ce qui conduit à des injections SQL. Enfin, le nom d'utilisateur est utilisé dans une instruction `LIKE`, permettant aux personnes de se connecter avec `%` au lieu de leur nom d'utilisateur. Lors de l'ajout de paramètres à l'URL, ils sont automatiquement inclus dans une instruction SQL `LIKE` (selon le nom du paramètre). Cela permet aux attaquants de potentiellement récupérer des informations arbitraires. Par exemple, les attaquants peuvent utiliser la requête suivante pour tester si certains mots de passe chiffrés commencent par `AAA`. Cela aboutit à une requête SQL du type `password LIKE 'AAA%'`, permettant aux attaquants de forcer lentement les mots de passe par force brute. Lors de l'ajout de paramètres à l'URL, ils sont automatiquement ajoutés à une requête SQL. Les noms des paramètres ne sont pas correctement échappés. Ce comportement peut être utilisé pour injecter du code SQL arbitraire (injection SQL). Ces vulnérabilités peuvent être utilisées pour divulguer des informations et extraire le contenu de la base de données et ont été corrigées dans la version 0.53.0. Il est conseillé aux utilisateurs de mettre à niveau. Il n'existe aucune solution de contournement connue pour cette vulnérabilité.

• CVE-2024-47062PoC

  CVE-2024-47062 PoC