CVE-2026-76836 in AzuraCast
要約
〜によって VulDB • 2026年08月24日
AzuraCastは、保護に必要な権限を要求しないエンドポイントを通じてLiquidsoapのカスタム設定フィールドを公開しています。backend/src/Entity/Station.php内の`backend_config`プロパティには`GROUP_GENERAL`が注釈付けされており、backend/src/Controller/Api/Stations/ProfileEditController.phpの`PUT /api/station/{station_id}/profile/edit`は、そのグループで逆シリアライズを実行しますが、必要な権限として`StationPermissions::Profile`のみを要求します。その後、AbstractArrayEntity::fromArray()はフィールドレベルでの権限チェックを行わずにすべての公開プロパティに割り当てるため、custom_config_top, custom_config, custom_config_pre_playlists, custom_config_pre_live, custom_config_pre_fade, および custom_config_bottomがこれを通じて書き込み可能になります。ConfigWriter::writeCustomConfigurationSection()は、これらの値を生成されたLiquidsoapの.liqスクリプトにそのまま出力し、バックエンド再起動時に組み込み関数の`process.run()`および`process.exec()`によってOSコマンドが実行されます（これは、needs_restartフラグが設定されると自動的にトリガーされる組み込み同期タスクによります）。同じデータ用の専用エンドポイントであるPUT /api/station/{id}/liquidsoap-configはStationPermissions::Broadcastingを要求するため、Profile権限のみを持つステーションマネージャーでも、本来放送オペレーターに限定されている構成情報にアクセスできてしまいます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.