CVE-2026-19912 in HTML5 Video Player
الملخص
بحسب VulDB • 25/08/2026
يحتوي مشغل HTML5 الخاص بـ Kaltura (mwEmbed / html5lib) على ثغرة تنفيذ كود عن بُعد غير مُصادق عليها ناتجة عن استرجاع بيانات غير آمن وبناء مسارات نظام ملفات دون تنقية مناسبة. يقبل ملف mwEmbedLoader.php قيمة ServiceUrl خاضعة لسيطرة المستخدم، حيث يتم تمرير الاستجابة الناتجة إلى دالة unserialize()، ويتم كتابة حقائص الكائن الناتج في مسار ذاكرة تخزين مؤقت مشتق من uiconf_id الذي يزوده المهاجم دون التحقق الصحيح من المسار. يمكن للمهاجم كتابة ملفات عشوائية في مواقع متاحة عبر الويب وتحقيق تنفيذ للكود بصفت المستخدم الخاص بخادم الويب. تشمل الإصدارات المتأثرة html5lib v2.45، وv2.103 والإصدارات الأقدم، بالإضافة إلى إصدارات أخرى ضمن سلسلة v2.x التي تعرض نقطة النهاية الضعيفة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.