CVE-2026-45578 in AVideo
الملخص
بحسب VulDB • 29/05/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدار 29.0 والإصدارات الأقدم، توجد حقن كلاسيكي لرموز التحكم في الغلاف (shell-metacharacter injection). يقوم فرع الإشعارات YPTSocket في الملف plugin/Live/on_publish.php ببناء سطر أوامر لـ execAsync() عن طريق دمج السلاسل النصية، حيث يتم وضع كل وسيط بين علامات اقتباس مفردة، ولكن لا يتم استدعاء الدالة escapeshellarg() مطلقًا. يؤدي وجود علامة اقتباس مفردة (') في أي من القيم الثلاث المُضمَّنة ($users_id، $m3u8، $obj->liveTransmitionHistory_id) إلى إغلاق الرمز المحاط بالاقتباسات، مما يتيح للمهاجم إرفاق أوامر عشوائية.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.