AzuraCast before 0.24.0 CRLF Injection via Mount display_name in PLS Playlist

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

AzuraCast before 0.24.0 contains a CRLF injection vulnerability that allows low-privilege station users to inject playlist entries by embedding CR/LF sequences in mount or remote relay display_name values. Attackers with Station:MountPoints or Station:RemoteRelays permission can inject FileN= and TitleN= lines into the public playlist.pls to redirect guest listeners to attacker-controlled streams under the victim station's name.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…raCast/security/advisories/GHSA-cqgx-rqjr-5gf4 Üretici bülteni
• vulncheck.com/…jection-via-mount-display-name-in-pls-playlist Üçüncü taraf

Kayıt geçmişi

1. 3 Kas 2026 17:28Yayımlandı

İlgili açıklar

• 5,4 CVE-2026-121433AzuraCast before 0.24.0 Stored CSV Formula Injection via Bulk Media Export
• 5,3 CVE-2026-121431AzuraCast before 0.24.0 SSRF Filter Bypass via Webhook Connectors
• 5,4 CVE-2026-121430AzuraCast before 0.24.0 Missing Authorization via Station Waveform Endpoints
• 8,8 CVE-2026-121429AzuraCast'te StereoTool Liquidsoap pipe üzerinden komut enjeksiyonu
• 7,5 CVE-2026-121427AzuraCast'te frontend_config.custom_config ile Shoutcast yapılandırma enjeksiyonu
• 8,8 CVE-2026-121428AzuraCast'te zaman dilimi alanı üzerinden Supervisor yapılandırma enjeksiyonu (uzaktan kod çalıştırma)