CVE-2026-76836

AzuraCast, Liquidsoap fərdi konfiqurasiya sahələrini onları qoruyan icazələri tələb etməyən bir son nöqtə (endpoint) vasitəsilə açıq şəkildə təqdim edir. `backend/src/Entity/Station.php` faylındakı `backend_config` xüsusiyyəti `GROUP_GENERAL` ilə annotasiya edilmişdir və `backend/src/Controller/Api/Stations/ProfileEditController.php` faylındakı `PUT /api/station/{station_id}/profile/edit` sorğusu yalnız `StationPermissions::Profile` icazəsini tələb etdiyi halda həmin qrup ilə deserializasiya aparır. Daha sonra `AbstractArrayEntity::fromArray()` funksiyası sahə səviyyəsində heç bir icazə yoxlaması aparmadan hər bir ictimai xüsusiyyəti təyin edir, beləliklə `custom_config_top`, `custom_config`, `custom_config_pre_playlists`, `custom_config_pre_live`, `custom_config_pre_fade` və `custom_config_bottom` yazıla bilən olur. `ConfigWriter::writeCustomConfigurationSection()` funksiyası bu dəyərləri olduğu kimi generatsiya edilmiş Liquidsoap `.liq` skriptinə daxil edir; burada `process.run()` və `process.exec()` daxili funksiyaları, `needs_restart` təyin edildikdə daxili sinxronizasiya tapşırığının avtomatik tetiklediyi backend yenidən başladığı zaman əməliyyat sistemi əmrlərini icra edir. Eyni məlumatlar üçün nəzərdə tutulmuş xüsusi son nöqtə olan `PUT /api/station/{id}/liquidsoap-config` isə `StationPermissions::Broadcasting` icazəsini tələb edir, buna görə də yalnız profil icazəsinə malik olan stansiya meneceri, nəzərdə tutulan sərhədin yayım operatorları üçün rezerv etdiyi konfiqurasiyaya giriş əldə edir.