CVE-2026-42606

AzuraCast özünə məxsus hostinqi olan, hər şeyi birində birləşdirən veb radio idarəetmə dəstidir. Versiya 0.23.6-ya qədər ApplyXForwarded middleware-i etibarlı proksi ağ siyahısı olmadan müştəri tərəfindən təqdim edilən X-Forwarded-Host HTTP başlığını şərtsiz olaraq etibar edir. Autentifikasiya olunmamış hücumçu şifrəni unutma prosesini başladarkən bu başlığı daxil etməklə istənilən istifadəçiyə göndərilən şifrənin sıfırlanması URL-ni zəhərləyə bilər. Qurban zəhərlənmiş linkə kliklədikdə, onun sıfırlama tokeni hücumçunun serverinə sızdırılır. Daha sonra hücumçu həmin tokendən real instansiyada qurbanın şifrəsini sıfırlamaq və 2FA konfiqurasiyasını ləğv etmək üçün istifadə edərək hesabı tamamilə ələ keçirir. Bu problem versiya 0.23.6-da aradan qaldırılmışdır.