p PatchFirst

CVE-2026-100855

CVE-2026-100855 · AzuraCast before 0.23.6 Missing Permission Check via /play

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

AzuraCast before 0.23.6 contains a missing permission check vulnerability in the GET /api/station/{station_id}/file/{id}/play endpoint that allows authenticated users to download media files from any station. Attackers can enumerate media files using sequential IDs and exfiltrate the complete media library of stations they lack permissions for.

CVSS 7.1 · Высокий · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: php

Затронутые продукты и версии

  • azuracast

    Версии
    • ≥ 0, < 0.23.6: Затронуто (semver)
    • 0.23.6: Не затронуто (semver)

    Обновитесь до 0.23.6

  • azuracast/azuracast Packagist

    Версии
    • 0.10.0
    • 0.10.1
    • 0.10.2
    • 0.10.3
    • 0.10.4
    • 0.11
    • 0.11.1
    • 0.11.2
    • 0.12
    • 0.12.1
    • 0.12.2
    • 0.12.3
    • 0.12.4
    • 0.13.0
    • 0.14.0
    • 0.14.1
    • 0.15.0
    • 0.15.1
    • 0.15.2
    • 0.16.0
    • 0.16.1
    • 0.17.0
    • 0.17.1
    • 0.17.2
    • 0.17.3
    • 0.17.4
    • 0.17.5
    • 0.17.6
    • 0.17.7
    • 0.18.0
    • 0.18.1
    • 0.18.2
    • 0.18.3
    • 0.18.5
    • 0.19.0
    • 0.19.1
    • 0.19.2
    • 0.19.3
    • 0.19.4
    • 0.19.5
    • 0.19.6
    • 0.19.7
    • 0.20.0
    • 0.20.1
    • 0.20.2
    • 0.20.3
    • 0.20.4
    • 0.21.0
    • 0.22.0
    • 0.22.1
    • 0.23.0
    • 0.23.1
    • 0.23.2
    • 0.23.3
    • 0.23.4
    • 0.23.5
    • 0.3.1
    • 0.3.2
    • 0.3.3
    • 0.5.0
    • 0.6.0
    • 0.8.0
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 0.9.3
    • 0.9.4
    • 0.9.4.1
    • 0.9.4.2
    • 0.9.5
    • 0.9.5.1
    • 0.9.6
    • 0.9.6.1
    • 0.9.6.2
    • 0.9.6.5
    • 0.9.7
    • 0.9.7.1
    • 0.9.8
    • 0.9.8.1
    • 0.9.9
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.23.6

    Обновитесь до 0.23.6

Первоисточники

Проверьте свой сервер →