AzuraCast before 0.24.0 Missing Authorization via Station Waveform Endpoints

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

AzuraCast before 0.24.0 contains a missing authorization vulnerability in the GET and POST /api/station/{station_id}/waveform/{media_id} routes, which lack Permissions middleware. Any authenticated user without station assignment can read another station's cached waveform JSON and overwrite it with attacker-supplied data, corrupting Visual Cue Editor data.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…raCast/security/advisories/GHSA-q3x9-qgv6-hgq3 Üretici bülteni
• vulncheck.com/…g-authorization-via-station-waveform-endpoints Üçüncü taraf

Kayıt geçmişi

1. 3 Kas 2026 17:28Yayımlandı

İlgili açıklar

• 5,4 CVE-2026-121433AzuraCast before 0.24.0 Stored CSV Formula Injection via Bulk Media Export
• 5,3 CVE-2026-121431AzuraCast before 0.24.0 SSRF Filter Bypass via Webhook Connectors
• 3,5 CVE-2026-121432AzuraCast before 0.24.0 CRLF Injection via Mount display_name in PLS Playlist
• 8,8 CVE-2026-121429AzuraCast'te StereoTool Liquidsoap pipe üzerinden komut enjeksiyonu
• 7,5 CVE-2026-121427AzuraCast'te frontend_config.custom_config ile Shoutcast yapılandırma enjeksiyonu
• 8,8 CVE-2026-121428AzuraCast'te zaman dilimi alanı üzerinden Supervisor yapılandırma enjeksiyonu (uzaktan kod çalıştırma)