CVE-2026-100849

AzuraCast, kendi kendine barındırılan bir web radyo yönetim paketidir. AzuraCast 0.23.8 sürümünden önceki sürümlerde, Generic ve Discord webhook konnektörleri tarafından kullanılan AbstractConnector::getValidUrl() (backend/src/Webhook/Connector/AbstractConnector.php) içindeki istasyon webhook URL doğrulaması, yalnızca ana bilgisayarı gerçek bir bağlantı yerel IP adresi (169.254.0.0/16 veya fe80::/10) olan URL'leri reddetmektedir. Geri döngü (loopback) adresleri ve RFC1918 özel aralıkları reddedilmemekte ve gerçek IP olmayan herhangi bir ana bilgisayar adı, IP ayrıştırma çağrısının hata fırlatmasına neden olarak kontrolün tamamen atlanmasına yol açmaktadır. Bu nedenle, yalnızca istasyon kapsamlı WebHooks iznine sahip bir kullanıcı; dahili, geri döngü veya özel ağ hedefli bir webhook yapılandırabilir ve sunucunun istasyonun "Şu An Çalıyor" verilerini içeren giden bir HTTP POST isteği göndermesine neden olarak sunucu tarafı istek sahteciliği (SSRF) gerçekleştirebilir. PUT /station/{id}/webhook/{id}/test uç noktası, aynı düşük yetkili kullanıcının isteği talep üzerine tetiklemesine izin vermektedir. Bildirimin yapıldığı sırada yamalanmış bir sürüm mevcut değildi.