CVE-2026-100849 in AzuraCast
Zusammenfassung
von VulDB • 27.09.2026
AzuraCast ist eine selbst gehostete Web-Radio-Management-Suite. In AzuraCast vor Version 0.23.8 wird die URL-Validierung für Station-Webhooks in `AbstractConnector::getValidUrl()` (backend/src/Webhook/Connector/AbstractConnector.php), die von den Generic- und Discord-Webhook-Connektoren verwendet wird, nur URLs ablehnen, deren Host eine wörtliche link-local IP-Adresse ist (169.254.0.0/16 oder fe80::/10). Loopback-Adressen und RFC1918-Private-Ranges werden nicht abgelehnt, und jeder Hostname, der keine wörtliche IP-Adresse ist, führt dazu, dass der Aufruf zur IP-Parsing-Ausnahme wirft, wodurch die Prüfung vollständig übersprungen wird. Ein Benutzer mit nur den stationsspezifischen WebHooks-Berechtigungen kann daher einen Webhook konfigurieren, der auf ein internes, Loopback- oder Private-Network-Ziel zeigt, und bewirken, dass der Server eine ausgehende HTTP POST-Anfrage sendet, welche die „Now Playing“-Daten der Station enthält, was zu einer Server-Side Request Forgery (SSRF) führt. Der Endpunkt `PUT /station/{id}/webhook/{id}/test` ermöglicht es demselben niedrig privilegierten Benutzer, diese Anfrage bei Bedarf auszulösen. Zum Zeitpunkt des Hinweises war keine gepatchte Version verfügbar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.