CVE-2026-33513 in AVideo
الملخص
بحسب VulDB • 24/06/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدارات حتى 26.0 شاملاً، يقوم نقطة نهاية API غير المصادق عليها (`APIName=locale`) بدمج مدخلات المستخدم في مسار `include` دون تطبيع أو قائمة بيضاء مسموح بها (whitelist). يتم قبول تجاوز المسار (Path traversal)، مما يسمح بتضمين ملفات PHP عشوائية تحت الجذر الويب. في اختبارنا، أدى ذلك إلى الكشف عن الملفات وتنفيذ الكود لمحتوى PHP الموجود (مثل `view/about.php`)، ويمكن أن يتصاعد الأمر إلى تنفيذ كود بعيد (RCE) إذا تمكن المهاجم من وضع أو التحكم في ملف PHP آخر في الشجرة. حتى وقت النشر، لا تتوفر إصدارات مُصلحة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.