CVE-2026-100850
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
AzuraCast przed wersją 0.23.8 zawiera lukę w zabezpieczeniach związaną z fałszowaniem żądań po stronie serwera i możliwością odczytu plików lokalnych podczas zdalnego pobierania listy odtwarzania AutoDJ (backend/src/Radio/AutoDJ/QueueBuilder.php, getMediaFromRemoteUrl()). Użytkownik posiadający uprawnienia stacji Media może tworzyć lub aktualizować listę odtwarzania o parametrach source=remote_url i Remote_type=playlist, której zdalny_url wskazuje na ścieżkę file:// lub wewnętrzny/loopback/link-local punkt końcowy HTTP. Kiedy AutoDJ buduje kolejkę, backend przekazuje podany przez użytkownika adres URL bezpośrednio do file_get_contents() bez listy dozwolonych schematów i bez zasad prywatnych/pętli zwrotnej/metadanych IP (PHP zezwolenie_url_fopen jest domyślnie włączone, także w obrazie Dockera). Wiersze z pobranego zasobu są analizowane jako wpisy M3U/PLS, przechowywane w StationQueue.autodj_custom_uri i zwracane przez GET /api/station/{station_id}/queue dowolnemu użytkownikowi z uprawnieniem Broadcasting, ujawniając pliki hosta czytelne dla kontenera internetowego (na przykład /etc/passwd lub aplikację .env) oraz treści nieujawnionych wewnętrznych żądań HTTP. W momencie publikacji nie była dostępna żadna poprawiona wersja.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org