Alpastx

**Nome do Software Vulnerável e Versões Afetadas** AzuraCast versões anteriores a 0.23.8 **Description** Um problema existe na funcionalidade de busca de playlist remota do AutoDJ dentro da função `getMediaFromRemoteUrl()`. Um usuário com permissões de Mídia da estação pode criar ou atualizar uma playlist definindo `source` como `remote url` e `remote type` como `playlist`. Ao fornecer um `remote url` que aponte para um caminho `file://` ou para um endpoint HTTP interno, de loopback ou link-local, o backend passa essa URL diretamente para `file get contents()` sem uma lista de permissões de esquema ou política de IP privado. Isso permite a falsificação de solicitação do lado do servidor (SSRF) e a leitura de arquivos locais. O conteúdo recuperado é analisado como entradas M3U/PLS e retornado através do endpoint `GET /api/station/{station id}/queue` para usuários com permissões de Transmissão, podendo expor arquivos sensíveis do host, como `/etc/passwd` ou o arquivo `.env` da aplicação, bem como o corpo de requisições HTTP internas. **Recommendations** Atualize o AzuraCast para a versão 0.23.8 ou posterior. Como mitigação temporária, restrinja o uso da função `getMediaFromRemoteUrl()` ou limite as permissões para a criação de playlists remotas até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** AzuraCast versões anteriores a 0.23.8 **Descrição** Um controle de acesso quebrado permite que usuários autenticados com apenas a permissão View Station Page leiam senhas de administrador, de origem e de retransmissão do Icecast/Shoutcast. Ao chamar o endpoint 'GET /api/station/{id}/vue/profile', invasores com acesso apenas de visualização podem obter credenciais de frontend em texto simples na resposta JSON. Essas credenciais podem então ser usadas para se autenticar na interface de administração do Icecast sem a necessidade de permissão de Broadcasting. **Recomendações** Atualize para a versão 0.23.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** AzuraCast versões anteriores a 0.23.8 **Description** Ocorre uma injeção de comando durante a geração da configuração do Liquidsoap para gravação ao vivo, pois o nome de usuário do streamer não é devidamente delimitado em chamadas `process.run`. Usuários de estação autenticados com permissões de Streamers e Profile podem definir um nome de usuário contendo metacaracteres de shell, permitindo a execução de comandos arbitrários como o usuário do processo Liquidsoap quando a gravação é encerrada. **Recommendations** Atualize para a versão 0.23.8 ou posterior.