CVE-2026-100848
Təsvir
0.23.8 versiyasından əvvəlki AzuraCast (Composer paketi azuracast/azuracast), stansiyanın "Remote Relay" URL-ni yalnız URL sintaksisi və http/https sxemi üçün yoxlayır (StationRemote::getUrlAsUri tərəfindən istifadə edilən Utilities\Urls::parseUserUrl) və hər hansı host və ya IP ünvan məhdudiyyəti tətbiq etmir. Yalnız stansiya səviyyəli RemoteRelays icazəsinə malik olan istifadəçi, buna görə də loopback, şəxsi şəbəkə və ya bulud metadata ünvanlarına (məsələn, http://127.0.0.1:<port>/ və ya http://169.254.169.254/latest/meta-data/) yönəlmiş Remote Relay URL təyin edə bilər və AzuraCast-ın dövri arxa plan "Now Playing" sinxronizasiyası (AbstractRemote::getNowPlayingAsync) həmin ünvana avtomatik və təkrar olaraq HTTP sorğuları göndərəcəkdir ki, bu da daxili resurslara qarşı server tərəfli sorğu saxtakarlığına (SSRF) səbəb olur. Bu, bcf8754eef3a268ad82c3db4d81f7920c3c28b56 (2026-07-31) commit tarixinə olan əsas budağı (main branch) əhatə edir; bildiriş zamanı heç bir düzəliş edilmiş versiya mövcud olmayıb.
Necə düzəltmək olar
- AzuraCast AzuraCast0.23.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| AzuraCast AzuraCast | v < 0.23.8 | 0.23.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.