CVE-2026-121427

Nome do Software Vulnerável e Versões Afetadas AzuraCast versões anteriores a 0.23.9

Descrição Um usuário autenticado com a permissão Manage station profile pode sequestrar o frontend Shoutcast da estação. O problema ocorre porque a aplicação falha em remover frontend config.custom config durante uma requisição ao endpoint 'PUT /station/{id}/profile/edit' para usuários que não possuem a permissão Manage station broadcasting. O JSON armazenado é então gravado literalmente como linhas de chave=valor no arquivo sc serv.conf do Shoutcast. Isso permite que um invasor substitua as variáveis adminpassword, password e portbase, ou injete diretivas arbitrárias usando quebras de linha nas chaves.

Recomendações Atualize o AzuraCast para a versão 0.23.9 ou posterior.