---
title: "AzuraCast 0.23.8 以前で、局プロフィール編集権限だけで Shoutcast の設定を書き換えられるおそれ（CVE-2026-121427）: CVSS v3.1 7.5、修正版・悪用の有無は未確認"
url: https://n-t-p.io/worldsecurity/articles/azuracast-shoutcast-custom-config-injection-cve-2026-121427
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-121427
---

# AzuraCast 0.23.8 以前で、局プロフィール編集権限だけで Shoutcast の設定を書き換えられるおそれ（CVE-2026-121427）: CVSS v3.1 7.5、修正版・悪用の有無は未確認

> **TL;DR:** AzuraCast 0.23.8 以前で、局プロフィールの更新 API が custom_config を取り除かず、Shoutcast の sc_serv.conf に書き込まれる。権限が低い利用者がパスワードやポートを上書きし、フロントエンドを乗っ取れるおそれ（CVE-2026-121427、CWE-15、CVSS v3.1 7.5）。修正版・悪用の有無は未確認。KEV 未掲載、EPSS データなし。

**要点**
- AzuraCast 0.23.8 以前に、局プロフィール更新 API 経由で Shoutcast の設定ファイルを書き換えられるおそれ（CVE-2026-121427）。
- CVSS v3.1 は 7.5（機密性のみ高）。ただし評価は権限不要、本文はログイン済みの利用者が対象で食い違う。NVD の状態は Deferred。
- 修正版の版番号は未確認。更新と、sc_serv.conf・管理パスワードの点検が必要。
- 悪用の有無は未確認。KEV には載っておらず、EPSS はデータなし。

AzuraCast（オープンソースのネットラジオ運用ソフト）0.23.8 以前について、局プロフィールの更新 API が設定値を取り除かず、Shoutcast の設定ファイルへそのまま書き込まれる問題として、CVE-2026-121427 が 2026-11-03 に NVD に登録されました。登録元は VulnCheck です。

## 何が起きるか
- NVD の記載によると、`PUT /station/{id}/profile/edit` が、「放送の管理（Manage station broadcasting）」権限を持たない利用者の `frontend_config.custom_config` を取り除きません。
- 保存された JSON は、Shoutcast の設定ファイル `sc_serv.conf` に「キー=値」の行としてそのまま書き込まれます。
- 「局プロフィールの管理（Manage station profile）」権限だけを持つログイン済みの利用者が、`adminpassword`・`password`・`portbase` を上書きできます。キーに改行を入れて、任意の設定行を差し込むこともできます。これにより、その局の Shoutcast フロントエンドを乗っ取れるとされています。
- 弱点の分類は CWE-15（システム設定の外部制御）です。対象は 0.23.8 以前です。

## 数値と severity
- CVSS v3.1 は 7.5（HIGH）で、ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N です（評価元は VulnCheck。NVD 上は Primary）。CVSS v4.0 は 8.7（HIGH）です。
- ただし、評価の「権限不要（PR:N）」と、本文の「ログイン済みで局プロフィール権限が必要」は食い違っています。本文に従えば、実際には低い権限が要ると読めます。
- 認証不要と確認できず、CVSS も 9 未満のため、severity は high とします。
- NVD の状態は「Deferred」で、NVD 自身の評価はありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

## 対策
- AzuraCast を運用している場合は、0.23.8 より後の版が出ていれば更新する（修正版の有無は下記の「未確認の点」を参照）。
- 更新までの間、局プロフィールの管理権限を信頼できる利用者に限り、Shoutcast を使っている局の `sc_serv.conf` に見覚えのない行がないか確認する。
- Shoutcast 管理用のパスワードとポートが変更されていないかを点検する。

## 未確認の点
- 修正版の版番号と提供時期。GitHub のセキュリティ勧告と VulnCheck の勧告は、本稿では内容を開けていません。
- 認証が必要かどうか。CVSS 上は不要ですが、記載では権限が要るとされており、食い違いの原因は確認できていません。
- 実際に悪用されているか、攻撃コードが出回っているか。
- Shoutcast 以外のフロントエンド（Icecast など）への影響。
- NVD の最終評価と EPSS。

## 出典
- NVD: CVE-2026-121427
- VulnCheck の勧告・GitHub のセキュリティ勧告 GHSA-2wcv-vv3g-g86q（NVD の参照先。未開封）
- FIRST EPSS（データなし）、CISA KEV（掲載なし）


## 出典
- [NVD CVE-2026-121427](https://nvd.nist.gov/vuln/detail/CVE-2026-121427) — NIST NVD
- [GitHub セキュリティ勧告 GHSA-2wcv-vv3g-g86q（未開封）](https://github.com/AzuraCast/AzuraCast/security/advisories/GHSA-2wcv-vv3g-g86q) — AzuraCast
- [VulnCheck 勧告（未開封）](https://www.vulncheck.com/advisories/azuracast-through-0.23.8-config-injection-via-frontend-config-custom-config) — VulnCheck

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/azuracast-shoutcast-custom-config-injection-cve-2026-121427