CVE-2022-23857: navidrome

csirt@kutim:~/threat-intel/cve/CVE-2022-23857

CVSS 6.5 · Medium EPSS 0,93%

Kerentanan Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') pada navidrome. Skor CVSS 3.1 6.5 (Medium) menurut NVD.

Deskripsi (NVD)

model/criteria/criteria.go in Navidrome before 0.47.5 is vulnerable to SQL injection attacks when processing crafted Smart Playlists. An authenticated user could abuse this to extract arbitrary data from the database, including the user table (which contains sensitive information such as the users' encrypted passwords).

Rincian

Terbit di NVD: 24 Januari 2022
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 6.5 (Medium), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
EPSS (30 hari): 0,93% peluang dieksploitasi; lebih tinggi dari 59,6% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
navidrome	navidrome	Semua versi sebelum 0.47.5

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/navidrome/navidrome/commit/9e79b5cbf2a48c1e4344df00fea4ed3844ea965d patch · advisory pihak ketiga
https://github.com/navidrome/navidrome/releases/tag/v0.47.5 release notes · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.