- Son 7 gün
- CWE-862
CVE-2026-122327
Meelo through 3.13.1 Missing Authorization on Song, Track and Video Endpoints
Orta
4,3
CVSS 3.1
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
Meelo through 3.13.1 contains a missing authorization vulnerability that allows authenticated non-admin users to modify shared catalog data because RolesGuard does not require Admin on song, track and video write routes. Attackers can send PUT requests to /songs/:idOrSlug, /tracks/:idOrSlug or /videos/:idOrSlug, or POST to /songs/:idOrSlug/merge, to alter genres, reassign tracks and merge songs.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Arthi-chaud Meelo | ≤ 3.13.1 | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/Arthi-chaud/Meelo/issues/2185 Üçüncü taraf
- hackmd.io/…elo-catalog-metadata-write-missing-admin-authz Üçüncü taraf
- vulncheck.com/…uthorization-on-song-track-and-video-endpoints Üçüncü taraf
- github.com/…server/src/authentication/roles/roles.guard.ts Diğer
- github.com/…lob/v3.13.1/server/src/song/song.controller.ts Diğer
- github.com/…b/v3.13.1/server/src/track/track.controller.ts Diğer
- github.com/…b/v3.13.1/server/src/video/video.controller.ts Diğer
- github.com/Arthi-chaud/Meelo Diğer
Kayıt geçmişi
- Yayımlandı