PT-2026-136188

CVE-2026-121431

Publicado

2026-11-03

Atualizado

2026-11-04

Descrição por

CVSS 4.0

6.9

Média

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L

Nome do Software Vulnerável e Versões Afetadas AzuraCast versões anteriores a 0.24.0

Descrição Usuários de estação com permissão de WebHooks podem ignorar a proteção UserUrlFilter por meio dos conectores Mastodon, Telegram, GroupMe e RadioReg. Ao definir as variáveis instance url, api ou webhookurl para endereços internos e acionar o endpoint de teste de webhook, um invasor pode realizar um server-side request forgery (SSRF) para acessar serviços de loopback, rede privada ou metadados de nuvem. SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Recomendações Atualize para a versão 0.24.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Tonghuaroot

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados