【中危漏洞】CVE-2026-23877：Swing Music 目录遍历漏洞分析
漏洞概述
Swing Music 是一个用于本地音频文件的自托管音乐播放器。在版本 2.1.4 之前，其 /folder/dir-browser 接口中的 list_folders() 函数存在目录遍历漏洞。任何经过身份验证的用户（包括非管理员）均可利用该漏洞浏览服务器文件系统上的任意目录，可能导致敏感信息泄露。官方已在 2.1.4 版本中修复此问题。
漏洞详情
- CVE 编号：CVE-2026-23877
- 漏洞类型：目录遍历（CWE-25、CWE-284）
- CVSS 评分：5.3（中危）
- 影响版本：Swing Music 2.1.4 之前的所有版本
影响范围
所有使用 Swing Music 且版本低于 2.1.4 的部署实例均受影响。攻击者需具备有效账户（即使是普通用户）即可触发漏洞，无需管理员权限。
风险分析
该漏洞允许低权限用户绕过预期路径限制，访问服务器上任意可读目录内容，可能造成配置文件、密钥、日志等敏感信息泄露。虽然不直接导致远程代码执行或服务中断，但可作为进一步攻击的跳板，提升整体攻击面。
修复建议
- 立即升级至 Swing Music 2.1.4 或更高版本，以应用官方修复补丁。
- 如无法立即升级，建议临时限制对
/folder/dir-browser接口的访问，或通过网络层（如反向代理）实施路径过滤策略，防止非法路径遍历请求。
