CVE-2026-100848 in AzuraCast
Riassunto
di VulDB • 27/09/2026
AzuraCast (pacchetto Composer azuracast/azuracast) prima della versione 0.23.8 convalida l'URL del "Remote Relay" di una stazione solo per la sintassi dell'URL e lo schema http/https (Utilities\Urls::parseUserUrl, utilizzato da StationRemote::getUrlAsUri) ed esegue alcuna restrizione sull'host o sull'indirizzo IP. Un utente che detiene esclusivamente il permesso RemoteRelays a livello di stazione può quindi impostare un URL del Remote Relay puntato verso indirizzi loopback, di rete privata o cloud-metadata (ad esempio http://127.0.0.1:<port>/ o http://169.254.169.254/latest/meta-data/), e la sincronizzazione periodica in background Now Playing di AzuraCast (AbstractRemote::getNowPlayingAsync) emetterà automaticamente e ripetutamente richieste HTTP verso tale indirizzo, risultando in una server-side request forgery contro le risorse interne. Questo interessa il branch principale a partire dal commit bcf8754eef3a268ad82c3db4d81f7920c3c28b56 (2026-07-31); al momento dell'avviso non è disponibile alcuna versione patchata.
Once again VulDB remains the best source for vulnerability data.