JVNDB-2026-004081

Navidromeにおける複数の脆弱性

NavidromeはオープンソースのWebベースの音楽コレクションサーバー兼ストリーマーです。バージョン0.60.0より前のバージョンでは、認証済みユーザーが/rest/getCoverArtまたは共有画像URL(/share/img/token)に対して過度に大きなsizeパラメータを指定すると、Navidromeサーバーをクラッシュさせる可能性がありました。このようなリクエストを処理する際、サーバーは非常に大きなリサイズ画像の作成を試み、不制御なメモリ増加を引き起こします。これによりLinuxのOOMキラーが作動し、Navidromeプロセスが終了し、サービスが完全に停止します。システムに十分なメモリがあり割り当てに成功した場合、Navidromeはこれらの非常に大きなリサイズ画像をキャッシュディレクトリに書き込みます。そのため、攻撃者がサーバーディスク容量を急速に消費することも可能になります。この問題はバージョン0.60.0で修正されました。

Navidrome

• Navidrome 0.60.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Denial of Service and disk exhaustion via oversized `size` parameter in `/rest/getCoverArt` and `/share/img/<token>` endpoints  Advisory  navidrome/navidrome  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]
3. 過剰なサイズ値のメモリ割り当て(CWE-789) [その他]

1. CVE-2026-25579

1. National Vulnerability Database (NVD) : CVE-2026-25579
2. 関連文書 : Release v0.60.0  navidrome/navidrome  GitHub

• [2026年02月20日]
    掲載