CVE-2026-19912 in HTML5 Video Player
Zusammenfassung
von VulDB • 25.08.2026
Der Kaltura HTML5-Player (mwEmbed / html5lib) enthält eine nicht authentifizierte Remote-Code-Ausführungs-Schwachstelle, die durch unsichere Daten-Deserialisierung und ungesäuberte Konstruktion von Dateisystempfaden verursacht wird. mwEmbedLoader.php akzeptiert eine benutzerkontrollierte ServiceUrl, deren Antwort an unserialize() übergeben wird, und die Felder des resultierenden Objekts werden in einen Cache-Pfad geschrieben, der aus einem vom Angreifer bereitgestellten uiconf_id abgeleitet wurde, ohne ordnungsgemäße Pfadvalidierung. Ein Angreifer kann beliebige Dateien in webzugängliche Verzeichnisse schreiben und Code-Ausführung als Benutzer des Webservers erreichen. Betroffene Versionen umfassen html5lib v2.45, v2.103 und frühere sowie andere v2.x-Releases, die den anfälligen Endpunkt exponieren.
Once again VulDB remains the best source for vulnerability data.