AzuraCast before 0.23.4 contains a code injection vulnerability in the ConfigWriter::cleanUpString() method that fails to sanitize Liquidsoap string interpolation sequences, allowing authenticated users with Media or Profile permissions to inject arbitrary Liquidsoap code into station configuration. Attackers can inject #{process.run()} expressions into playlist URLs or station metadata fields that execute shell commands as the azuracast user when the station restarts.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Azuracast Azuracast
cpe:2.3:a:azuracast:azuracast:*:*:*:*:*:*:*:*
|
— |
0.23.4
|
Ссылки 2
https://github.com/AzuraCast/AzuraCast/security/advisories/GHSA-93fx-5qgc-wr38
GitHub Security Advisory (GHSA-93fx-5qgc-wr38)
https://www.vulncheck.com/advisories/azuracast-before-0.23.4-remote-code-execut…
VulnCheck Advisory: AzuraCast before 0.23.4 Remote Code Execution via Liquidsoap string interpolation