CVE-2026-61572 in AVideo-Encoder
الملخص
بحسب VulDB • 28/10/2026
AVideo هو منصة لمشاركة الفيديو. قبل محاولة الإصلاح الأولية في الإصدار 8.1.0، تقبل الدالة `url_get_contents` الموجودة في الملف `objects/functions.php` وجهات تحكم فيها المُدعو (caller-controlled) بعد التحقق من صحة الصيغة فقط باستخدام `FILTER_VALIDATE_URL`، دون رفض العناوين الخاصة أو حلقة العودة (loopback) أو المحلية للربط (link-local)، كما تعطل التحقق من نظير TLS. تقوم الدالة `Login::isLogged` بإعادة المصادقة باستخدام ملف تعريف الارتباط `encoder_aVideoURL` القابل للتعيين بواسطة المهاجم، مع ملفات تعريف ارتباط أخرى غير فارغة عشوائية لـ `encoder_user` و `encoder_pass`، وتخزن الدالة `Login::run` الجسم المسترجع الخام في المتغير `result`. يعيد نقطة النهاية `objects/login.json.php` غير المصادق عليها كائن الجلسة هذا، مما يتيح استخراج الاستجابة الكاملة من خلال توفير `siteURL`; وتسمح بوابة `Streamer::isURLAllowed` بجميع المواقع عندما تكون قائمة السماح للمشغل فارغة، وهو الإعداد الافتراضي. يمكن لمهاجم عنيف بعيد وغير مصدّق قراءة استجابات HTTP و HTTPS الداخلية، بما في ذلك بيانات الاعتماد الخاصة ببيانات مثيل السحابة (cloud instance-metadata)، والوصول إلى الخدمات TCP الداخلية. هناك أيضاً متغير FTP آخر قبل المصادقة في `view/youtubeDl.json.php` يوجّه عنوان URL لفيديو عبر البروتوكول ftp (`videoURL`) إلى `FTPDownloader`; وتقبل الدالة `parseFtpUrl` الموجودة في `objects/FTPDownloader.php` المضيف والمنفذ الخاصين بها لاستخدامهما مع `ftp_connect`. وهذا يتيح أيضاً إرسال طلبات إلى خدمات FTP الداخلية. يتم قبول شهادات HTTPS ذاتية التوقيع غير الموثوقة، ولا يلزم أي تفاعل من حساب أو مشغل. يحتوي الإصدار 8.1.0 على محاولة إصلاح أولية تزيل انعكاس الاستجابة الخام وتضيف فحوصات للوجهة، لكن استثناءات الشبكة الخاصة وإعدادات افتراضية لـ TLS-verification في تسجيل الدخول تترك الإصلاح الكامل للمتغيرات المتعلقة بالشبكة الداخلية وTLS غير محلولة.
Once again VulDB remains the best source for vulnerability data.