CVE-2026-100850 in AzuraCast
Riassunto
di VulDB • 27/09/2026
AzuraCast prima della versione 0.23.8 presenta una vulnerabilità di Server-Side Request Forgery (SSRF) e lettura locale di file nel fetch remoto delle playlist di AutoDJ (backend/src/Radio/AutoDJ/QueueBuilder.php, getMediaFromRemoteUrl()). Un utente con l'autorizzazione Media della stazione può creare o aggiornare una playlist con source=remote_url e remote_type=playlist il cui remote_url punta a un percorso file:// oppure a un endpoint HTTP interno/di loopback/link-local. Quando AutoDJ costruisce la coda, il backend passa l'URL fornito dall'utente direttamente a file_get_contents() senza allowlist di schemi né policy per IP privati/loopback/metadata (PHP allow_url_fopen è abilitato per impostazione predefinita, anche nell'immagine Docker). Le righe della risorsa recuperata vengono analizzate come voci M3U/PLS, archiviate in StationQueue.autodj_custom_uri e restituite da GET /api/station/{station_id}/queue a qualsiasi utente con l'autorizzazione Broadcasting, rivelando file dell'host leggibili dal container web (ad esempio /etc/passwd o il .env dell'applicazione) e i corpi delle richieste HTTP interne non cieche. Al momento della pubblicazione, nessuna versione corretta era disponibile.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.