CVE-2026-122327
Meelo through 3.13.1 Missing Authorization on Song, Track and Video Endpoints
CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Исправленная версия не указана. Проверьте бюллетень производителя.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Отсутствие проверки авторизации в Meelo позволяет аутентифицированным пользователям без прав администратора изменять данные общего каталога.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Компонент RolesGuard не требует прав Admin на маршрутах записи песен, треков и видео. Атакующий может отправлять PUT-запросы на эндпоинты /songs/:idOrSlug, /tracks/:idOrSlug, /videos/:idOrSlug или POST-запросы на /songs/:idOrSlug/merge для изменения жанров, переназначения треков и объединения песен.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированное изменение данных каталога: смена жанров, переназначение треков и объединение песен пользователями без прав администратора.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)
- github.comhttps://github.com/Arthi-chaud/Meelo/issues/2185
- github.comhttps://github.com/Arthi-chaud/Meelo/blob/v3.13.1/server/src/authentication/roles/roles.guard.ts#L48-L117
- github.comhttps://github.com/Arthi-chaud/Meelo/blob/v3.13.1/server/src/song/song.controller.ts#L275-L309
- github.comhttps://github.com/Arthi-chaud/Meelo/blob/v3.13.1/server/src/track/track.controller.ts#L145-L160
- github.comhttps://github.com/Arthi-chaud/Meelo/blob/v3.13.1/server/src/video/video.controller.ts#L131-L149
- hackmd.iohttps://hackmd.io/@hieund/meelo-catalog-metadata-write-missing-admin-authz
- github.comhttps://github.com/Arthi-chaud/Meelo
- www.vulncheck.comhttps://www.vulncheck.com/advisories/meelo-through-3.13.1-missing-authorization-on-song-track-and-video-endpoints
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-122327: Meelo through 3.13.1 Missing Authorization on Song, Track and Video Endpoints. URL: https://cve.futuretools.ru/cve/CVE-2026-122327
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_122327,
title = {{CVE-2026-122327: Meelo through 3.13.1 Missing Authorization on Song, Track and Video Endpoints}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-122327}},
note = {Оперативный инженерный анализ киберугроз}
}