CVE-2026-100849 in AzuraCast
요약
\~에 의해 VulDB • 2026. 09. 27.
AzuraCast는 자체 호스팅되는 웹 라디오 관리 스위트입니다. AzuraCast 0.23.8 이전 버전에서 AbstractConnector::getValidUrl() (backend/src/Webhook/Connector/AbstractConnector.php)의 스테이션 webhook URL 검증은 Generic 및 Discord webhook 커넥터에 의해 사용되며, 리터럴 링크 로컬 IP 주소(169.254.0.0/16 또는 fe80::/10)를 호스트로 사용하는 URL만 거부합니다. 루프백 주소와 RFC1918 사설 범위는 거부되지 않으며, 비-리터럴 IP 호스트명은 IP 파싱 호출에서 예외를 발생시켜 검사를 완전히 건너뛰게 합니다. 따라서 스테이션 범위 WebHooks 권한만을 가진 사용자는 내부, 루프백 또는 사설 네트워크 대상 webhook을 구성하여 서버가 스테이션의 Now Playing 데이터를 포함한 아웃바운드 HTTP POST 요청을 보내도록 할 수 있으며, 이로 인해 SSRF(Server-Side Request Forgery)가 발생합니다. PUT /station/{id}/webhook/{id}/test 엔드포인트를 사용하면 동일한 저권한 사용자가 필요할 때마다 해당 요청을 트리거할 수 있습니다. 권고 발표 시점에는 패치된 버전이 제공되지 않았습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.