PT-2025-50896 · Azuracast+1 · Azuracast+1

Publicado 2025-12-12 · Atualizado 2026-02-17 · CVE-2025-67737

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.7

Baixa

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas AzuraCast versões 0.23.1

Descrição O AzuraCast é uma suíte de gerenciamento de rádio via web tudo-em-um e auto-hospedada. A versão 0.23.1 inclui inadvertidamente um endpoint de API destinado ao uso interno pelo software SFTP sftpgo, expondo-o à API HTTP voltada para o público. Um usuário com conhecimento das operações de uma estação pode elaborar uma solicitação HTTP personalizada para afetar o banco de dados da estação. A exploração requer um nome de usuário SFTP válido da estação e conhecimento da estrutura interna do sistema de arquivos. O endpoint de API vulnerável é exposto através da API HTTP voltada para o público. O nome de usuário e a estrutura interna do sistema de arquivos são necessários para um ataque bem-sucedido.

Recomendações Atualize para a versão 0.23.2 ou posterior.

Exploit

Correção

RCE

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-67737

GHSA-9449-RPHM-MJQR

Produtos afetados

Azuracast

Sftpgo

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/67xxx/CVE-2025-67737.json · Exploit
• https://github.com/AzuraCast/AzuraCast/security/advisories/GHSA-9449-rphm-mjqr · Aviso do Fabricante
• https://github.com/AzuraCast/AzuraCast/commit/34620dbad93f6cd8e209a4220e3e53c7c5fea844 · Correção
• https://t.me/CVEtracker/39593 · Publicação no Telegram
• https://reddit.com/r/VulnMatter/comments/1pkvele/resumen_diario_de_vulnerabilidades_12122025 · Publicação no Reddit
• https://t.me/cveNotify/145566 · Publicação no Telegram
• https://t.me/cveNotify/152169 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-67737 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-67737 · Aviso do Fabricante