CVE-2026-100848
Açıklama
0.23.8 öncesindeki AzuraCast (Composer paketi azuracast/azuracast), bir istasyonun "Remote Relay" URL'sini yalnızca URL söz dizimi ve http/https şeması için doğrular (StationRemote::getUrlAsUri tarafından kullanılan Utilities\Urls::parseUserUrl) ve herhangi bir ana bilgisayar veya IP adresi kısıtlaması uygulamaz. Bu nedenle, yalnızca istasyon kapsamlı RemoteRelays iznine sahip bir kullanıcı; loopback, özel ağ veya bulut meta veri adreslerini (örneğin http://127.0.0.1:<port>/ veya http://169.254.169.254/latest/meta-data/) işaret eden bir Remote Relay URL'si ayarlayabilir ve AzuraCast'in periyodik arka plan Now Playing senkronizasyonu (AbstractRemote::getNowPlayingAsync), bu adrese otomatik olarak ve tekrar eden HTTP istekleri göndererek dahili kaynaklara karşı sunucu tarafı istek sahteciliğiyle (SSRF) sonuçlanır. Bu durum, bcf8754eef3a268ad82c3db4d81f7920c3c28b56 (2026-07-31) commit'i itibarıyla main dalını etkilemektedir; bildirim tarihinde yamalanmış bir sürüm mevcut değildir.
Nasıl düzeltilir
- AzuraCast AzuraCast0.23.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| AzuraCast AzuraCast | v < 0.23.8 | 0.23.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.