AzuraCast before 0.24.0 SSRF Filter Bypass via Webhook Connectors

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

AzuraCast before 0.24.0 contains a server-side request forgery vulnerability that allows station users with WebHooks permission to bypass the UserUrlFilter guard via the Mastodon, Telegram, GroupMe, and RadioReg connectors. Attackers can set instance_url, api, or webhookurl to internal addresses and trigger the webhook test endpoint to reach loopback, private-network, or cloud-metadata services.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…raCast/security/advisories/GHSA-qh22-76gf-qwc4 Üretici bülteni
• vulncheck.com/…24.0-ssrf-filter-bypass-via-webhook-connectors Üçüncü taraf

Kayıt geçmişi

1. 3 Kas 2026 17:28Yayımlandı

İlgili açıklar

• 5,4 CVE-2026-121433AzuraCast before 0.24.0 Stored CSV Formula Injection via Bulk Media Export
• 3,5 CVE-2026-121432AzuraCast before 0.24.0 CRLF Injection via Mount display_name in PLS Playlist
• 5,4 CVE-2026-121430AzuraCast before 0.24.0 Missing Authorization via Station Waveform Endpoints
• 8,8 CVE-2026-121429AzuraCast'te StereoTool Liquidsoap pipe üzerinden komut enjeksiyonu
• 7,5 CVE-2026-121427AzuraCast'te frontend_config.custom_config ile Shoutcast yapılandırma enjeksiyonu
• 8,8 CVE-2026-121428AzuraCast'te zaman dilimi alanı üzerinden Supervisor yapılandırma enjeksiyonu (uzaktan kod çalıştırma)