CVE-2026-100849

Nome do Software Vulnerável e Versões Afetadas AzuraCast versões anteriores a 0.23.8

Descrição A validação insuficiente de URL na função getValidUrl() dentro do arquivo AbstractConnector.php permite a falsificação de requisição do lado do servidor (SSRF). O processo de validação rejeita apenas endereços IP locais literais, falhando em bloquear endereços de loopback, intervalos privados RFC1918 ou nomes de host que não sejam IPs literais. Um usuário com permissões de WebHooks de estação pode configurar um webhook direcionado a redes internas ou privadas, fazendo com que o servidor envie uma requisição HTTP POST externa contendo dados de Now Playing. Isso pode ser acionado sob demanda através do endpoint PUT /station/{id}/webhook/{id}/test.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.