p PatchFirst

CVE-2026-50552

CVE-2026-50552 · Koel: Server-Side Request Forgery (SSRF) in radio station creation due to missing validation bail

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Koel is a free, open-source music streaming solution. Prior to version 9.7.1, Koel contains a Server-Side Request Forgery (SSRF) vulnerability in the radio station creation endpoint (POST /api/radio/stations). The url field validation rules are declared without the bail keyword, so the HasAudioContentType rule — which issues HTTP requests to the supplied URL — still executes even after the SafeUrl rule has rejected the URL as pointing to a private/reserved address. Any authenticated, non-admin user can therefore coerce the server into making HEAD/GET requests to arbitrary internal hosts. This issue has been patched in version 9.7.1.

CVSS 6.3 · Mittel · EPSS 0,2% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: php

Betroffene Produkte und Versionen

  • koel

    Softwareversionen
    • < 9.7.1: Betroffen

    Keine Korrektur veröffentlicht

  • phanan/koel Packagist

    Softwareversionen
    • 1.0.0-beta
    • v0.0.0-beta
    • v1.1.1
    • v1.1.2
    • v2.0.0
    • v2.0.1
    • v2.0.2
    • v2.1.0
    • v2.2.0
    • v2.2.1
    • v3.0.0
    • v3.0.1
    • v3.1.0
    • v3.1.1
    • v3.2.0
    • v3.3.0
    • v3.3.1
    • v3.4.0
    • v3.4.1
    • v3.5.0
    • v3.5.1
    • v3.5.2
    • v3.5.3
    • v3.5.4
    • v3.5.5
    • v3.6.0
    • v3.6.1
    • v3.6.2
    • v3.7.0
    • v3.7.1
    • v3.7.2
    • v4.0.0
    • v4.1.0
    • v4.1.1
    • v4.2.0
    • v4.2.1
    • v4.2.2
    • v4.3.0
    • v4.3.1
    • v4.4.0
    • v5.0.0
    • v5.0.1
    • v5.0.2
    • v5.1.0
    • v5.1.1
    • v5.1.10
    • v5.1.11
    • v5.1.12
    • v5.1.13
    • v5.1.14
    • v5.1.2
    • v5.1.3
    • v5.1.4
    • v5.1.5
    • v5.1.6
    • v5.1.7
    • v5.1.8
    • v5.1.9
    • v6.0.0
    • v6.0.1
    • v6.0.2
    • v6.0.3
    • v6.0.4
    • v6.0.5
    • v6.0.6
    • v6.1.0
    • v6.10.0
    • v6.11.0
    • v6.11.1
    • v6.11.2
    • v6.11.3
    • v6.11.4
    • v6.11.5
    • v6.12.0
    • v6.12.1
    • v6.2.0
    • v6.2.1
    • v6.2.2
    • v6.3.0
    • v6.4.0
    • v6.4.1
    • v6.4.2
    • v6.4.3
    • v6.5.0
    • v6.5.1
    • v6.5.2
    • v6.5.3
    • v6.6.0
    • v6.7.0
    • v6.7.1
    • v6.7.2
    • v6.7.3
    • v6.7.4
    • v6.7.5
    • v6.8.0
    • v6.8.1
    • v6.8.2
    • v6.8.3
    • v6.8.4
    • v6.8.5
    • v6.9.0
    • v7.0.0
    • v7.0.1
    • v7.0.10
    • v7.0.11
    • v7.0.12
    • v7.0.2
    • v7.0.3
    • v7.0.4
    • v7.0.5
    • v7.0.6
    • v7.0.7
    • v7.0.8
    • v7.0.9
    • v7.1.0
    • v7.10.0
    • v7.10.1
    • v7.10.2
    • v7.10.3
    • v7.10.4
    • v7.11.0
    • v7.12.0
    • v7.13.0
    • v7.14.0
    • v7.15.0
    • v7.15.1
    • v7.2.0
    • v7.2.1
    • v7.2.2
    • v7.3.0
    • v7.3.1
    • v7.4.0
    • v7.4.1
    • v7.4.2
    • v7.5.0
    • v7.5.1
    • v7.5.2
    • v7.6.0
    • v7.6.1
    • v7.6.2
    • v7.6.3
    • v7.7.0
    • v7.7.1
    • v7.8.0
    • v7.8.1
    • v7.9.0
    • v8.0.0
    • v8.1.0
    • v8.2.0
    • v8.3.0
    • v8.3.1
    • v9.0.0
    • v9.1.0
    • v9.1.1
    • v9.1.2
    • v9.2.0
    • v9.2.1
    • v9.3.0
    • v9.3.1
    • v9.3.2
    • v9.3.3
    • v9.3.4
    • v9.3.5
    • v9.3.6
    • v9.4.0
    • v9.4.1
    • v9.4.2
    • v9.5.0
    • v9.6.0
    • v9.7.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 9.7.1

    Auf 9.7.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →