p PatchFirst

CVE-2026-111925

CVE-2026-111925 · Mopidy before 4.0.5 Path Traversal via File Backend library.lookup

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Mopidy before 4.0.5 contains a path traversal vulnerability that allows unauthenticated clients to access local files outside file/media_dirs because FileLibraryProvider.lookup() lacks a containment check. Attackers can call core.library.lookup or core.tracklist.add over JSON-RPC or WebSocket with file:// URIs to probe file existence, read tag metadata, and play out-of-sandbox files.

CVSS 6.9 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • mopidy

    Versions du logiciel
    • ≥ 0, < 4.0.5: Concernée (semver)

    Mettez à jour vers 4.0.5

  • mopidy Debian:12

    Versions du logiciel
    • 3.4.1-1
    • 3.4.2-1
    • 3.4.2-2
    • 3.4.2-3
    • 3.4.2-4
    • 3.4.2-5
    • 3.4.2-6
    • 3.4.2-7
    • 3.4.2-8
    • 4.0.3-1
    • 4.0.4-1
    • 4.0.4-2
    • 4.0.5-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mopidy Debian:13

    Versions du logiciel
    • 3.4.2-3
    • 3.4.2-4
    • 3.4.2-5
    • 3.4.2-6
    • 3.4.2-7
    • 3.4.2-8
    • 4.0.3-1
    • 4.0.4-1
    • 4.0.4-2
    • 4.0.5-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mopidy Debian:14

    Versions du logiciel
    • 3.4.2-3
    • 3.4.2-4
    • 3.4.2-5
    • 3.4.2-6
    • 3.4.2-7
    • 3.4.2-8
    • 4.0.3-1
    • 4.0.4-1
    • 4.0.4-2
    Plages de versions concernées
    • ECOSYSTEM: < 4.0.5-1

    Mettez à jour vers 4.0.5-1

  • mopidy Ubuntu:16.04:LTS

    Versions du logiciel
    • 1.1.0-2
    • 1.1.1-1
    • 1.1.2-1
    • 2.0.0-1
    • 2.0.0-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mopidy Ubuntu:18.04:LTS

    Versions du logiciel
    • 2.1.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mopidy Ubuntu:20.04:LTS

    Versions du logiciel
    • 2.2.3-1
    • 2.3.1-1
    • 3.0.1-1
    • 3.0.1-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mopidy Ubuntu:22.04:LTS

    Versions du logiciel
    • 3.1.1-1
    • 3.2.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mopidy Ubuntu:24.04:LTS

    Versions du logiciel
    • 3.4.1-1
    • 3.4.2-1
    • 3.4.2-1ubuntu0.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mopidy Ubuntu:26.10

    Versions du logiciel
    • 3.4.2-6
    • 3.4.2-8
    • 3.4.2-8ubuntu1
    • 4.0.4-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mopidy Ubuntu:26.04:LTS

    Versions du logiciel
    • 3.4.2-3
    • 3.4.2-4
    • 3.4.2-5
    • 3.4.2-6
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →