CVE-2026-100848 in AzuraCast
요약
\~에 의해 VulDB • 2026. 09. 27.
AzuraCast(Composer 패키지 azuracast/azuracast) 0.23.8 이전 버전은 스테이션의 "Remote Relay" URL에 대해 URL 구문과 http/https 프로토콜만 유효성 검사합니다(Utility\Urls::parseUserUrl, StationRemote::getUrlAsUri에서 사용됨). 호스트 또는 IP 주소 제한이 적용되지 않습니다. 따라서 station-scoped RemoteRelays 권한만을 가진 사용자가 loopback(로컬 루프백), 사설 네트워크(private-network) 또는 클라우드 메타데이터(cloud-metadata) 주소를 가리키는 Remote Relay URL을 설정할 수 있습니다 (예: http://127.0.0.1:<port>/또는 http://169.254.169.254/latest/meta-data/). AzuraCast의 주기적인 백그라운드 Now Playing 동기화(AbstractRemote::getNowPlayingAsync)가 해당 주소로 HTTP 요청을 자동으로 반복적으로 수행하여 내부 리소스에 대한 SSRF(Server-Side Request Forgery, 서버 측 요청 위조)를 유발합니다. 이 취약점은 commit bcf8754eef3a268ad82c3db4d81f7920c3c28b56(2026-07-31 기준 main branch)부터 영향을 받습니다. 보안 권고 발표 시점에는 패치된 버전이 없습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.