CVE-2026-42605
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność w AzuraCast przed wersją 0.23.6 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania mediami zapisanie dowolnych plików poza katalogiem magazynu stacji poprzez niesanitizowany parametr currentDirectory w punkcie końcowym przesyłania plików Flow.js. Może to prowadzić do zdalnego wykonania kodu przez zapisanie webshella PHP.
Ocena ryzyka
Atakujący może uzyskać zdalne wykonanie kodu na serwerze, co może prowadzić do pełnego przejęcia kontroli nad aplikacją i danymi.
Rekomendacja
Zaktualizuj AzuraCast do wersji 0.23.6 lub nowszej.
Inne podatności w AzuraCast
Zobacz wszystkie- CVE-2026-76836Wysokie
AzuraCast udostępnia pola konfiguracji Liquidsoap przez punkt końcowy, który nie wymaga uprawnień do ich ochrony. Właściwość backend_config w Station.php jest oznaczona jako GROUP_GENERAL, a punkt końcowy PUT /api/station/{station_id}/profile/edit deserializuje z tą grupą, wymagając tylko uprawnienia StationPermissions::Profile. Metoda fromArray() przypisuje wszystkie publiczne właściwości bez sprawdzania uprawnień na poziomie pola, więc pola custom_config_top, custom_config, custom_config_pre_playlists, custom_config_pre_live, custom_config_pre_fade i custom_config_bottom są zapisywalne. ConfigWriter::writeCustomConfigurationSection() emituje te wartości dosłownie do skryptu .liq, gdzie funkcje process.run() i process.exec() wykonują polecenia systemu operacyjnego po restarcie backendu, co automatycznie wyzwala wbudowane zadanie synchronizacji. Dedykowany punkt końcowy dla tych danych wymaga uprawnień StationPermissions::Broadcasting, więc menedżer stacji z tylko uprawnieniem profilu może uzyskać konfigurację, która powinna być dostępna tylko dla operatorów transmisji.
- CVE-2026-42606Wysokie
AzuraCast przed wersją 0.23.6 zawiera podatność w middleware ApplyXForwarded, który bezwarunkowo ufa nagłówkowi X-Forwarded-Host bez listy dozwolonych proxy. Nieuwierzytelniony atakujący może zatruć URL resetowania hasła, wysyłając spreparowany nagłówek podczas żądania resetu. Gdy ofiara kliknie link, token resetu jest przechwytywany przez atakującego, który może przejąć konto i zniszczyć konfigurację 2FA.
Oryginalny opis (angielski, źródło NVD)
AzuraCast is a self-hosted, all-in-one web radio management suite. Prior to version 0.23.6, the currentDirectory request parameter in the Flow.js media upload endpoint (POST /api/station/{station_id}/files/upload) is not sanitized for path traversal sequences. When combined with a local filesystem storage backend (the default), an authenticated user with media management permissions can write arbitrary files outside the station's media storage directory, achieving remote code execution by writing a PHP webshell to the web root. This issue has been patched in version 0.23.6.