CVE-2026-100850

0.23.8 öncesindeki AzuraCast, AutoDJ uzak çalma listesi getirme özelliğinde (backend/src/Radio/AutoDJ/QueueBuilder.php, getMediaFromRemoteUrl()) bir sunucu taraflı istek sahteciliği (SSRF) ve yerel dosya okuma zafiyeti içermektedir. İstasyon Medya yetkisine sahip bir kullanıcı; remote_url parametresi bir file:// yoluna veya dahili/loopback/link-local bir HTTP uç noktasına işaret eden, source=remote_url ve remote_type=playlist değerlerine sahip bir çalma listesi oluşturabilir veya güncelleyebilir. AutoDJ kuyruğu oluştururken, arka uç tarafından kullanıcı tarafından sağlanan URL; herhangi bir şema izin listesi veya özel/loopback/metadata IP politikası olmaksızın doğrudan file_get_contents() fonksiyonuna iletilir (Docker imajı da dahil olmak üzere PHP allow_url_fopen varsayılan olarak etkindir). Getirilen kaynaktaki satırlar M3U/PLS girişleri olarak ayrıştırılır, StationQueue.autodj_custom_uri içinde saklanır ve Yayıncılık yetkisine sahip herhangi bir kullanıcıya GET /api/station/{station_id}/queue üzerinden döndürülerek, web konteyneri tarafından okunabilen ana bilgisayar dosyaları (örneğin /etc/passwd veya uygulamanın .env dosyası) ve kör olmayan dahili HTTP isteklerinin gövdeleri ifşa edilir. Yayınlandığı sırada yamalanmış bir sürüm mevcut değildi.