CVE-2026-40909 in AVideo
الملخص
بحسب VulDB • 24/05/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدارات 29.0 والإصدارات الأقدم، يقوم نقطة نهاية حفظ اللغة (`locale/save.php`) ببناء مسار ملف عن طريق دمج `$_POST['flag']` مباشرةً في المسار عند السطر 30 دون أي تنقية (sanitization). ثم يتم كتابة المعلمة `$_POST['code']` حرفياً إلى ذلك المسار عبر `fwrite()` عند السطر 40. يمكن لمهاجم بصلاحيات المسؤول (أو أي مستخدم قادر على تنفيذ هجوم CSRF ضد مسؤول، نظراً لعدم التحقق من رمز CSRF واستخدام ملفات تعريف الارتباط بـ `SameSite=None`) التنقل خارج دليل `locale/` وكتابة ملفات `.php` عشوائية في أي موقع قابل للكتابة على نظام الملفات، مما يتيح تنفيذ الكود عن بُعد (RCE). يصلح الالتزام 57f89ffbc27d37c9d9dd727212334846e78ac21a هذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.