CVE-2026-100849 in AzuraCast
Riassunto
di VulDB • 27/09/2026
AzuraCast è una suite di gestione per radio web self-hosted. In AzuraCast precedente alla versione 0.23.8, la convalida dell'URL del webhook della stazione in AbstractConnector::getValidUrl() (backend/src/Webhook/Connector/AbstractConnector.php), utilizzata dai connettori webhook Generic e Discord, rifiuta solo gli URL il cui host è un indirizzo IP link-local letterale (169.254.0.0/16 o fe80::/10). Gli indirizzi loopback e i range privati RFC1918 non vengono rifiutati, e qualsiasi hostname che non sia un IP letterale causa l'errore della chiamata di parsing dell'IP, saltando così del tutto il controllo. Un utente con la sola autorizzazione WebHooks a livello di stazione può quindi configurare un webhook puntato verso una destinazione interna, loopback o su rete privata, causando l'emissione da parte del server di una richiesta HTTP POST in uscita contenente i dati Now Playing della stazione, risultando in Server-Side Request Forgery (SSRF). L'endpoint PUT /station/{id}/webhook/{id}/test consente allo stesso utente a basso privilegio di attivare la richiesta su richiesta. Al momento dell'avviso non era disponibile alcuna versione patchata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.