CVE-2026-100849

AzuraCast özünə məxsus hostingli veb radio idarəetmə dəstidir. 0.23.8 versiyasından əvvəlki AzuraCast-da, Generic və Discord webhook konnektorları tərəfindən istifadə edilən AbstractConnector::getValidUrl() (backend/src/Webhook/Connector/AbstractConnector.php) funksiyasındakı stansiya webhook URL validasiyası yalnız hostu hərfi link-local IP ünvanı (169.254.0.0/16 və ya fe80::/10) olan URL-ləri rədd edir. Loopback ünvanları və RFC1918 şəxsi diapazonları rədd edilmir, həmçinin hər hansı hərfi olmayan IP host adı IP analiz çağırışının xəta verməsinə səbəb olur ki, bu da yoxlamanın tamamilə ötürülməsi ilə nəticələnir. Yalnız stansiya səviyyəli WebHooks icazəsinə malik olan istifadəçi daxili, loopback və ya şəxsi şəbəkə hədəfinə yönəlmiş webhook konfiqurasiya edə bilər və serverin stansiyanın "Now Playing" məlumatlarını ehtiva edən çıxan bir HTTP POST sorğusu göndərməsinə səbəb ola bilər ki, bu da server tərəfli sorğu saxtakarlığına (SSRF) gətirib çıxarır. PUT /station/{id}/webhook/{id}/test son nöqtəsi (endpoint) həmin aşağı imtiyazlı istifadəçiyə sorğunu tələb etdikdə tetikləməyə imkan verir. Məsləhət verilən vaxtda heç bir yamalı versiya mövcud deyildi.