🇰🇷 한글 설명
Sonicverse 라디오 오디오 스트리밍 스택 대시보드의 API 클라이언트에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 운영자가 검증되지 않은 URL을 입력하여 서버가 내부 또는 외부 시스템으로 임의의 HTTP 요청을 보내도록 악용할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 서버를 속여서 서버가 접근할 수 있는 내부의 비밀 정보나 다른 시스템에 강제로 접속하게 만드는 취약점입니다. 서버가 공격자의 심부름꾼이 되어 금지된 구역에 접근하는 것과 같습니다.
🇺🇸 원문 (English)
Sonicverse is a Self-hosted Docker Compose stack for live radio streaming. The Sonicverse Radio Audio Streaming Stack dashboard contains a Server-Side Request Forgery (SSRF) vulnerability in its API client (apps/dashboard/lib/api.ts). Installations created using the provided install.sh script (including the one‑liner bash <(curl -fsSL https://sonicverse.short.gy/install-audiostack)) are affected. In these deployments, the dashboard accepts user-controlled URLs and passes them directly to a server-side HTTP client without sufficient validation. An authenticated operator can abuse this to make arbitrary HTTP requests from the dashboard backend to internal or external systems. This vulnerability is fixed with commit cb1ddbacafcb441549fe87d3eeabdb6a085325e4.
📍 영향받는 시스템
Sonicverse Radio Audio Streaming Stack (install.sh 스크립트로 설치된 모든 버전)
⚔️ 공격 벡터
대시보드 API 클라이언트(apps/dashboard/lib/api.ts)의 입력값 검증 미흡을 이용한 SSRF 공격
🛡️ 대응 방법
취약점이 해결된 커밋(cb1ddbacafcb441549fe87d3eeabdb6a085325e4) 이후 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 해당 커밋 해시가 출력되면 패치가 적용된 것이며, 결과가 없으면 취약한 상태입니다.
git log -1 --format="%H" | grep -E 'cb1ddbacafcb441549fe87d3eeabdb6a085325e4'