平台
nodejs
组件
owntone-server
修复版本
29.1.0
CVE-2026-41458 describes a Denial of Service (DoS) vulnerability affecting OwnTone Server versions 28.4 through 29.0. This flaw allows unauthenticated attackers to crash the server by exploiting a race condition in the DAAP login handler. The vulnerability is triggered by flooding the /login endpoint with concurrent requests, leading to a remote denial of service. A fix is available in version 29.1.0.
CVE-2026-41458 影响 OwnTone Server 的 28.4 到 29.0 版本。 它是在 DAAP 登录处理程序中存在的竞争条件漏洞，允许未经身份验证的攻击者通过利用对全局 DAAP 会话列表的未同步访问来使服务器崩溃。 攻击者可以通过向 DAAP /login 端点发送大量并发请求来触发远程拒绝服务 (DoS) 条件，而无需进行身份验证。 此漏洞的严重性在于其易于利用以及对 OwnTone Server 服务可用性的潜在影响。
远程攻击者无需凭据即可利用此漏洞。 攻击包括向 DAAP /login 端点发送大量同时请求。 在处理这些请求中的竞争条件可能导致内存损坏或服务器崩溃。 缺乏身份验证使得利用变得微不足道，因为任何拥有网络访问权限的人都可以发起攻击。 在 OwnTone Server 用于关键服务的情况下，这尤其令人担忧，因为成功的攻击可能会中断服务。
Organizations and individuals relying on OwnTone Server for media management and streaming are at risk. This includes users of older OwnTone Server installations who have not yet applied security updates. Shared hosting environments where OwnTone Server is deployed could be particularly vulnerable, as an attacker could potentially target the server from another tenant's account.
• nodejs / server: Monitor OwnTone Server logs for a high volume of requests to the /login endpoint originating from a single IP address or a small number of IP addresses. Use journalctl -f to observe login attempts and resource usage.
journalctl -f | grep "/login"• generic web: Use curl to send a large number of concurrent requests to the /login endpoint and monitor server response times and resource utilization.
curl -v -H 'Accept: application/json' -X POST http://<ownToneServerIP>/login --parallel --limit 100disclosure
漏洞利用状态
EPSS
0.37% (59% 百分位)
CISA SSVC
为了缓解 CVE-2026-41458，强烈建议将 OwnTone Server 升级到 29.1.0 或更高版本。 此版本包含必要的修复程序，以解决 DAAP 登录处理程序中的竞争条件。 作为一项临时措施，可以在 DAAP /login 端点上实施速率限制，以帮助减少并发请求的影响。 及时应用此更新对于保护 OwnTone Server 系统免受潜在的 DoS 攻击至关重要。
Actualice OwnTone Server a la versión 29.1.0 o posterior para mitigar la vulnerabilidad de condición de carrera en el manejador de inicio de sesión DAAP. Esta actualización corrige el acceso no sincronizado a la lista global de sesiones DAAP, previniendo así ataques de denegación de servicio remotos.
漏洞分析和关键警报直接发送到您的邮箱。
OwnTone Server 的 28.4 到 29.0 版本容易受到 CVE-2026-41458 的攻击。
通过在命令行中运行 'owntone-server --version' 命令来检查 OwnTone Server 版本。
在 DAAP /login 端点上实施速率限制可以帮助降低风险。
尚未分配 CVSS 分数。 预计很快会发布。
请参阅官方 OwnTone Server 文档和安全漏洞信息来源。