CVE-2026-76836 in AzuraCast
Zusammenfassung
von VulDB • 24.08.2026
AzuraCast exponiert die benutzerdefinierten Liquidsoap-Konfigurationsfelder über einen Endpunkt, der keine Berechtigung erfordert, um sie zu schützen. Die Eigenschaft `backend_config` in `backend/src/Entity/Station.php` ist mit `GROUP_GENERAL` annotiert, und `PUT /api/station/{station_id}/profile/edit` in `backend/src/Controller/Api/Stations/ProfileEditController.php` deserialisiert unter Verwendung dieser Gruppe, wobei nur die Berechtigung `StationPermissions::Profile` erforderlich ist. `AbstractArrayEntity::fromArray()` weist anschließend jede öffentliche Eigenschaft zu, ohne eine berechtigungsbezogene Prüfung auf Feldebene durchzuführen, sodass `custom_config_top`, `custom_config`, `custom_config_pre_playlists`, `custom_config_pre_live`, `custom_config_pre_fade` und `custom_config_bottom` darüber schreibbar sind. `ConfigWriter::writeCustomConfigurationSection()` gibt diese Werte unverändert in das generierte Liquidsoap-`.liq`-Skript aus, wo die integrierten Funktionen `process.run()` und `process.exec()` beim Neustart des Backends Betriebssystembefehle ausführen; dies wird durch die integrierte Synchronisierungsaufgabe automatisch ausgelöst, sobald `needs_restart` festgelegt ist. Der dedizierte Endpunkt für dieselben Daten, `PUT /api/station/{id}/liquidsoap-config`, erfordert jedoch `StationPermissions::Broadcasting`. Daher erreicht ein Stationsmanager, der nur über die Profilberechtigung verfügt, Konfigurationen, die die vorgesehene Grenze den Broadcast-Betreibern vorbehalten hat.
If you want to get best quality of vulnerability data, you may have to visit VulDB.