AzuraCast 0.23.8 以前で、局プロフィール編集権限だけで Shoutcast の設定を書き換えられるおそれ（CVE-2026-121427）: CVSS v3.1 7.5、修正版・悪用の有無は未確認

AzuraCast（オープンソースのネットラジオ運用ソフト）0.23.8 以前について、局プロフィールの更新 API が設定値を取り除かず、Shoutcast の設定ファイルへそのまま書き込まれる問題として、CVE-2026-121427 が 2026-11-03 に NVD に登録されました。登録元は VulnCheck です。

何が起きるか

• NVD の記載によると、PUT /station/{id}/profile/edit が、「放送の管理（Manage station broadcasting）」権限を持たない利用者の frontend_config.custom_config を取り除きません。
• 保存された JSON は、Shoutcast の設定ファイル sc_serv.conf に「キー=値」の行としてそのまま書き込まれます。
• 「局プロフィールの管理（Manage station profile）」権限だけを持つログイン済みの利用者が、adminpassword・password・portbase を上書きできます。キーに改行を入れて、任意の設定行を差し込むこともできます。これにより、その局の Shoutcast フロントエンドを乗っ取れるとされています。
• 弱点の分類は CWE-15（システム設定の外部制御）です。対象は 0.23.8 以前です。

数値と severity

• CVSS v3.1 は 7.5（HIGH）で、ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N です（評価元は VulnCheck。NVD 上は Primary）。CVSS v4.0 は 8.7（HIGH）です。
• ただし、評価の「権限不要（PR:N）」と、本文の「ログイン済みで局プロフィール権限が必要」は食い違っています。本文に従えば、実際には低い権限が要ると読めます。
• 認証不要と確認できず、CVSS も 9 未満のため、severity は high とします。
• NVD の状態は「Deferred」で、NVD 自身の評価はありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• AzuraCast を運用している場合は、0.23.8 より後の版が出ていれば更新する（修正版の有無は下記の「未確認の点」を参照）。
• 更新までの間、局プロフィールの管理権限を信頼できる利用者に限り、Shoutcast を使っている局の sc_serv.conf に見覚えのない行がないか確認する。
• Shoutcast 管理用のパスワードとポートが変更されていないかを点検する。

未確認の点

• 修正版の版番号と提供時期。GitHub のセキュリティ勧告と VulnCheck の勧告は、本稿では内容を開けていません。
• 認証が必要かどうか。CVSS 上は不要ですが、記載では権限が要るとされており、食い違いの原因は確認できていません。
• 実際に悪用されているか、攻撃コードが出回っているか。
• Shoutcast 以外のフロントエンド（Icecast など）への影響。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-121427
• VulnCheck の勧告・GitHub のセキュリティ勧告 GHSA-2wcv-vv3g-g86q（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）