AzuraCast before 0.24.0 Stored CSV Formula Injection via Bulk Media Export

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

AzuraCast before 0.24.0 contains a stored CSV formula injection vulnerability that allows station users with Media permission to persist formula-prefixed metadata via bulk media import. Attackers can import crafted titles, artists, or custom fields through /api/station/{station_id}/files/bulk so formulas evaluate when other users open exported CSVs in spreadsheets.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…raCast/security/advisories/GHSA-5x35-83gj-w8gw Üretici bülteni
• vulncheck.com/…ed-csv-formula-injection-via-bulk-media-export Üçüncü taraf

Kayıt geçmişi

1. 3 Kas 2026 17:28Yayımlandı

İlgili açıklar

• 5,3 CVE-2026-121431AzuraCast before 0.24.0 SSRF Filter Bypass via Webhook Connectors
• 3,5 CVE-2026-121432AzuraCast before 0.24.0 CRLF Injection via Mount display_name in PLS Playlist
• 5,4 CVE-2026-121430AzuraCast before 0.24.0 Missing Authorization via Station Waveform Endpoints
• 8,8 CVE-2026-121429AzuraCast'te StereoTool Liquidsoap pipe üzerinden komut enjeksiyonu
• 7,5 CVE-2026-121427AzuraCast'te frontend_config.custom_config ile Shoutcast yapılandırma enjeksiyonu
• 8,8 CVE-2026-121428AzuraCast'te zaman dilimi alanı üzerinden Supervisor yapılandırma enjeksiyonu (uzaktan kod çalıştırma)