CVE-2026-121428

AzuraCast przed wersją 0.24.0 zawiera lukę podatności na fałszowanie żądań po stronie serwera (SSRF), która pozwala użytkownikom z uprawnieniem do WebHooks stacji obejść zabezpieczenie SSRF UserUrlFilter poprzez przekierowania HTTP. Atakujący mogą skonfigurować webhooki Mastodon, Telegram, GroupMe lub RadioReg wskazujące na przekierowujący URL, powodując, że klient Guzzle dociera do usług wewnętrznych i ujawnia odpowiedzi poprzez logi testowe.

AzuraCast w wersjach przed 0.24.0 zawiera podatność na wstrzyknięcie formuły CSV (stored CSV formula injection), która pozwala użytkownikom stacji z uprawnieniem Media na utrwalenie metadanych z prefiksem formuły poprzez masowy import mediów. Atakujący może zaimportować spreparowane tytuły, wykonawców lub pola niestandardowe przez /api/station/{station_id}/files/bulk, aby formuły zostały wykonane, gdy inni użytkownicy otworzą wyeksportowane pliki CSV w arkuszach kalkulacyjnych.

AzuraCast przed 0.24.0 zawiera podatność na wstrzyknięcie CRLF, umożliwiającą użytkownikom stacji o niskich uprawnieniach wstrzykiwanie wpisów playlisty poprzez osadzanie sekwencji CR/LF w wartościach display_name mount lub remote relay. Atakujący z uprawnieniami Station:MountPoints lub Station:RemoteRelays mogą wstrzyknąć linie FileN= i TitleN= do publicznego playlist.pls, aby przekierować słuchaczy do strumieni kontrolowanych przez atakującego pod nazwą stacji ofiary.

AzuraCast w wersjach przed 0.24.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala użytkownikom stacji z uprawnieniem WebHooks na obejście zabezpieczenia UserUrlFilter poprzez konektory Mastodon, Telegram, GroupMe i RadioReg. Atakujący może ustawić instance_url, api lub webhookurl na adresy wewnętrzne i wywołać punkt końcowy testu webhooka, aby dotrzeć do usług loopback, sieci prywatnej lub metadanych chmury.

AzuraCast przed wersją 0.24.0 zawiera lukę braku autoryzacji w routach GET i POST /api/station/{station_id}/waveform/{media_id}, które nie mają middleware Permissions. Każdy uwierzytelniony użytkownik bez przypisania do stacji może odczytać buforowany JSON waveform innej stacji i nadpisać go danymi atakującego, uszkadzając dane Visual Cue Editor.

AzuraCast do wersji 0.23.8 zawiera podatność na wstrzyknięcie poleceń, która pozwala użytkownikom stacji z uprawnieniem Profile na wykonywanie poleceń systemowych poprzez ustawienia StereoTool. Atakujący mogą wstrzyknąć metaznaki powłoki do stereo_tool_configuration_path lub stereo_tool_license_key, które są wykonywane przez /bin/sh przy restarcie stacji, kompromitując kontener.

AzuraCast do wersji 0.23.8 nie usuwa frontend_config.custom_config w PUT /station/{id}/profile/edit dla użytkowników bez uprawnienia Manage station broadcasting, a zapisany JSON jest zapisywany dosłownie jako linie key=value do pliku Shoutcast sc_serv.conf. Uwierzytelniony użytkownik z samym uprawnieniem Manage station profile może nadpisać adminpassword, password i portbase lub wstrzyknąć dowolne dyrektywy poprzez znaki nowej linii w kluczach, przejmując frontend Shoutcast stacji.

AzuraCast przed wersją 0.23.4 zawiera podatność wstrzykiwania kodu w metodzie ConfigWriter::cleanUpString(), która nie sanitizuje sekwencji interpolacji Liquidsoap. Uwierzytelnieni użytkownicy z uprawnieniami Media lub Profile mogą wstrzyknąć dowolny kod Liquidsoap do konfiguracji stacji, co prowadzi do wykonania poleceń powłoki jako użytkownik azuracast przy restarcie stacji.

AzuraCast przed wersją 0.23.6 zawiera podatność wstrzykiwania kodu w polu hasła zdalnego przekaźnika z powodu niepełnej migracji z podatnej metody cleanUpString do toRawString. Atakujący z uprawnieniami RemoteRelays mogą wstrzyknąć zagnieżdżoną składnię interpolacji Liquidsoap, aby wykonać dowolny kod w procesie Liquidsoap, ujawnić wewnętrzne klucze API lub zakłócić działanie stacji.

AzuraCast przed wersją 0.23.6 zawiera brak sprawdzenia uprawnień w punkcie końcowym GET /api/station/{station_id}/file/{id}/play, co pozwala uwierzytelnionym użytkownikom na pobieranie plików multimedialnych z dowolnej stacji. Atakujący mogą enumerować pliki za pomocą sekwencyjnych identyfikatorów i eksfiltrować całą bibliotekę multimediów stacji, do których nie mają uprawnień.