CVE-2026-121427
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
AzuraCast do wersji 0.23.8 nie usuwa frontend_config.custom_config w PUT /station/{id}/profile/edit dla użytkowników bez uprawnienia Manage station broadcasting, a zapisany JSON jest zapisywany dosłownie jako linie key=value do pliku Shoutcast sc_serv.conf. Uwierzytelniony użytkownik z samym uprawnieniem Manage station profile może nadpisać adminpassword, password i portbase lub wstrzyknąć dowolne dyrektywy poprzez znaki nowej linii w kluczach, przejmując frontend Shoutcast stacji.
Ocena ryzyka
Użytkownik o ograniczonych uprawnieniach może przejąć kontrolę nad frontendem Shoutcast stacji, zmieniając hasła i porty lub wstrzykując dyrektywy. Może to prowadzić do nieautoryzowanego dostępu lub zakłócenia emisji.
Rekomendacja
Zaktualizuj AzuraCast do wersji nowszej niż 0.23.8 i sprawdź pliki sc_serv.conf pod kątem nieoczekiwanych dyrektyw. Ogranicz uprawnienie Manage station profile do zaufanych użytkowników.
Inne podatności w AzuraCast
Zobacz wszystkie- CVE-2026-124442Średnie
AzuraCast przed wersją 0.24.0 zawiera lukę podatności na fałszowanie żądań po stronie serwera (SSRF), która pozwala użytkownikom z uprawnieniem do WebHooks stacji obejść zabezpieczenie SSRF UserUrlFilter poprzez przekierowania HTTP. Atakujący mogą skonfigurować webhooki Mastodon, Telegram, GroupMe lub RadioReg wskazujące na przekierowujący URL, powodując, że klient Guzzle dociera do usług wewnętrznych i ujawnia odpowiedzi poprzez logi testowe.
- CVE-2026-121433Średnie
AzuraCast w wersjach przed 0.24.0 zawiera podatność na wstrzyknięcie formuły CSV (stored CSV formula injection), która pozwala użytkownikom stacji z uprawnieniem Media na utrwalenie metadanych z prefiksem formuły poprzez masowy import mediów. Atakujący może zaimportować spreparowane tytuły, wykonawców lub pola niestandardowe przez /api/station/{station_id}/files/bulk, aby formuły zostały wykonane, gdy inni użytkownicy otworzą wyeksportowane pliki CSV w arkuszach kalkulacyjnych.
- CVE-2026-121432Niskie
AzuraCast przed 0.24.0 zawiera podatność na wstrzyknięcie CRLF, umożliwiającą użytkownikom stacji o niskich uprawnieniach wstrzykiwanie wpisów playlisty poprzez osadzanie sekwencji CR/LF w wartościach display_name mount lub remote relay. Atakujący z uprawnieniami Station:MountPoints lub Station:RemoteRelays mogą wstrzyknąć linie FileN= i TitleN= do publicznego playlist.pls, aby przekierować słuchaczy do strumieni kontrolowanych przez atakującego pod nazwą stacji ofiary.
- CVE-2026-121431Średnie
AzuraCast w wersjach przed 0.24.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala użytkownikom stacji z uprawnieniem WebHooks na obejście zabezpieczenia UserUrlFilter poprzez konektory Mastodon, Telegram, GroupMe i RadioReg. Atakujący może ustawić instance_url, api lub webhookurl na adresy wewnętrzne i wywołać punkt końcowy testu webhooka, aby dotrzeć do usług loopback, sieci prywatnej lub metadanych chmury.
- CVE-2026-121430Średnie
AzuraCast przed wersją 0.24.0 zawiera lukę braku autoryzacji w routach GET i POST /api/station/{station_id}/waveform/{media_id}, które nie mają middleware Permissions. Każdy uwierzytelniony użytkownik bez przypisania do stacji może odczytać buforowany JSON waveform innej stacji i nadpisać go danymi atakującego, uszkadzając dane Visual Cue Editor.
- CVE-2026-121429Wysokie
AzuraCast do wersji 0.23.8 zawiera podatność na wstrzyknięcie poleceń, która pozwala użytkownikom stacji z uprawnieniem Profile na wykonywanie poleceń systemowych poprzez ustawienia StereoTool. Atakujący mogą wstrzyknąć metaznaki powłoki do stereo_tool_configuration_path lub stereo_tool_license_key, które są wykonywane przez /bin/sh przy restarcie stacji, kompromitując kontener.
- CVE-2026-121428Wysokie
AzuraCast do wersji 0.23.8 zawiera podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym menedżerom stacji na wstrzyknięcie konfiguracji Supervisora poprzez pole strefy czasowej stacji. Atakujący mogą przesłać strefę czasową zawierającą znaki nowej linii do API edycji profilu, definiując nowy program Supervisora, który wykonuje polecenia systemowe jako root przy regeneracji konfiguracji.
- CVE-2026-100857Wysokie
AzuraCast przed wersją 0.23.4 zawiera podatność wstrzykiwania kodu w metodzie ConfigWriter::cleanUpString(), która nie sanitizuje sekwencji interpolacji Liquidsoap. Uwierzytelnieni użytkownicy z uprawnieniami Media lub Profile mogą wstrzyknąć dowolny kod Liquidsoap do konfiguracji stacji, co prowadzi do wykonania poleceń powłoki jako użytkownik azuracast przy restarcie stacji.
- CVE-2026-100856Wysokie
AzuraCast przed wersją 0.23.6 zawiera podatność wstrzykiwania kodu w polu hasła zdalnego przekaźnika z powodu niepełnej migracji z podatnej metody cleanUpString do toRawString. Atakujący z uprawnieniami RemoteRelays mogą wstrzyknąć zagnieżdżoną składnię interpolacji Liquidsoap, aby wykonać dowolny kod w procesie Liquidsoap, ujawnić wewnętrzne klucze API lub zakłócić działanie stacji.
- CVE-2026-100855Średnie
AzuraCast przed wersją 0.23.6 zawiera brak sprawdzenia uprawnień w punkcie końcowym GET /api/station/{station_id}/file/{id}/play, co pozwala uwierzytelnionym użytkownikom na pobieranie plików multimedialnych z dowolnej stacji. Atakujący mogą enumerować pliki za pomocą sekwencyjnych identyfikatorów i eksfiltrować całą bibliotekę multimediów stacji, do których nie mają uprawnień.
Oryginalny opis (angielski, źródło NVD)
AzuraCast through 0.23.8 fails to remove frontend_config.custom_config in PUT /station/{id}/profile/edit for users lacking the Manage station broadcasting permission, and the stored JSON is written verbatim as key=value lines into the Shoutcast sc_serv.conf file. An authenticated user with only the Manage station profile permission can override adminpassword, password, and portbase, or inject arbitrary directives via newlines in keys, hijacking the station's Shoutcast frontend.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS