xiaomusic contains an unauthenticated path traversal vulnerability
xiaomusic v0.5.7 contains an unauthenticated path traversal vulnerability in the GET /music/{file_path:path} endpoint that allows unauthenticated attackers to read arbitrary files outside the intended music directory by exploiting an incomplete path prefix check. Attackers can request files from sibling directories whose names share the music_path prefix by crafting traversal sequences, bypassing the path restriction due to the missing trailing separator in the comparison logic to retrieve arbitrary files from the server.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | xiaomusic | < 0.5.8 | 0.5.8 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2026-10108
- https://github.com/hanxi/xiaomusic/issues/890
- https://github.com/hanxi/xiaomusic/pull/891
- https://github.com/hanxi/xiaomusic/commit/88404da7a283f2c0a796a4cd16bbb6e6aa1f4722
- https://github.com/hanxi/xiaomusic
- https://www.vulncheck.com/advisories/xiaomusic-path-traversal-via-get-music-endpoint
- https://pypi.org/project/xiaomusic
- https://github.com/advisories/GHSA-5j8p-5rrj-8wjg
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-22- Platforma
- Python (PyPI)
- Paczka
xiaomusic- Ujawniono
- 29.05.2026
- Aktualizacja
- 11.10.2026 14:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-3429 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-5j8p-5rrj-8wjg - CC BY 4.0
Historia podatności: xiaomusic
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.