CVE-2026-100850

0.23.8 versiyasından əvvəlki AzuraCast, AutoDJ uzaq siyahı gətirmə funksiyasında (backend/src/Radio/AutoDJ/QueueBuilder.php, getMediaFromRemoteUrl()) server tərəfli sorğu saxtakarlığı (SSRF) və lokal faylların oxunması zəifliyinə malikdir. Stansiya Media icazəsi olan istifadəçi, source=remote_url və remote_type=playlist parametrləri ilə, remote_url hissəsi file:// yoluna və ya daxili/loopback/link-local HTTP son nöqtəsinə yönəlmiş bir siyahı yarada və ya yeniləyə bilər. AutoDJ növbəni formalaşdırarkən, backend istifadəçinin təqdim etdiyi URL-i heç bir sxem ağ siyahısı və ya şəxsi/loopback/metadata IP siyasəti olmadan birbaşa file_get_contents() funksiyasına ötürür (PHP allow_url_fopen standart olaraq aktivdir, o cümlədən Docker obrazında). Gətirilən resursdan alınan sətirlər M3U/PLS yazıları kimi analiz edilir, StationQueue.autodj_custom_uri-də saxlanılır və Broadcasting icazəsi olan hər hansı istifadəçiyə GET /api/station/{station_id}/queue vasitəsilə qaytarılır; bu isə veb konteyneri tərəfindən oxuna bilən host fayllarının (məsələn, /etc/passwd və ya tətbiqin .env faylı) və kor olmayan (non-blind) daxili HTTP sorğularının gövdələrinin ifşa olunmasına səbəb olur. Yayınlandığı vaxtda heç bir düzəliş edilmiş versiya mövcud deyildi.