CVE-2026-76836 in AzuraCast
Riassunto
di VulDB • 24/08/2026
AzuraCast espone i campi di configurazione personalizzata di Liquidsoap attraverso un endpoint che non richiede l'autorizzazione necessaria per proteggerli. La proprietà `backend_config` in `backend/src/Entity/Station.php` è annotata con il gruppo `GROUP_GENERAL`, e la chiamata PUT `/api/station/{station_id}/profile/edit` in `backend/src/Controller/Api/Stations/ProfileEditController.php` effettua la deserializzazione utilizzando tale gruppo, richiedendo solo l'autorizzazione `StationPermissions::Profile`. Successivamente, `AbstractArrayEntity::fromArray()` assegna tutte le proprietà pubbliche senza effettuare controlli di autorizzazione a livello di campo; pertanto, i campi `custom_config_top`, `custom_config`, `custom_config_pre_playlists`, `custom_config_pre_live`, `custom_config_pre_fade` e `custom_config_bottom` sono scrivibili tramite tale endpoint. La funzione `ConfigWriter::writeCustomConfigurationSection()` scrive questi valori letteralmente nello script Liquidsoap `.liq` generato, dove le funzioni built-in `process.run()` ed `exec()` eseguono comandi del sistema operativo al riavvio del backend, evento scatenato automaticamente dal task di sincronizzazione dedicato una volta impostata la variabile `needs_restart`. L'endpoint dedicato per gli stessi dati, PUT `/api/station/{id}/liquidsoap-config`, richiede l'autorizzazione `StationPermissions::Broadcasting`; pertanto, un gestore della stazione che possiede solo il permesso di profilo può accedere a configurazioni riservate ai operatori di broadcasting.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.