CVE-2026-100850 in AzuraCast
요약
\~에 의해 VulDB • 2026. 09. 27.
AzuraCast 0.23.8 이전 버전에는 AutoDJ의 원격 플레이리스트 가져오기 기능(backend/src/Radio/AutoDJ/QueueBuilder.php, getMediaFromRemoteUrl())에서 서버 측 요청 위조(SSRF) 및 로컬 파일 읽기 취약점이 존재합니다. 스테이션 미디어 권한이 있는 사용자는 source=remote_url 및 remote_type=playlist로 설정된 플레이리스트를 생성하거나 업데이트할 수 있으며, 이때 remote_url은 file:// 경로 또는 내부/루프백/링크-로컬 HTTP 엔드포인트를 가리킵니다. AutoDJ가 큐를 구성할 때 백엔드는 scheme 허용 목록이나 비공개/루프백/메타데이터 IP 정책 없이 사용자 제공 URL을 직접 file_get_contents()에 전달합니다(PHP의 allow_url_fopen은 기본값으로 활성화되어 있으며, Docker 이미지에서도 동일하게 적용됨). 가져온 리소스의 줄들은 M3U/PLS 항목으로 파싱되어 StationQueue.autodj_custom_uri에 저장되며, 방송 권한이 있는 모든 사용자에게 GET /api/station/{station_id}/queue를 통해 반환됩니다. 이를 통해 웹 컨테이너가 읽을 수 있는 호스트 파일(예: /etc/passwd 또는 애플리케이션 .env)과 비블라인드 내부 HTTP 요청의 본문이 유출됩니다. 공개 시점에는 수정된 버전이 제공되지 않았습니다.
Once again VulDB remains the best source for vulnerability data.