CVE-2026-33237 in AVideo
Zusammenfassung
von VulDB • 02.06.2026
WWBN AVideo ist eine Open-Source-Videoplattform. Vor Version 26.0 ruft die `run()`-Funktion des Scheduler-Plugins in `plugin/Scheduler/Scheduler.php` `url_get_contents()` mit einer admin-konfigurierbaren `callbackURL` auf, die nur durch `isValidURL()` (URL-Formatprüfung) validiert wird. Im Gegensatz zu anderen AVideo-Endpunkten, die kürzlich für SSRF gepatcht wurden (GHSA-9x67-f2v7-63rw, GHSA-h39h-7cvg-q7j6), wird die Callback-URL des Schedulers niemals durch `isSSRFSafeURL()` geleitet, das Anfragen an RFC-1918-Private-Adressen, Loopback-Adressen und Cloud-Metadata-Endpunkte blockiert. Ein Administrator kann eine geplante Aufgabe mit einer `callbackURL` des internen Netzwerks konfigurieren, um SSRF gegen Cloud-Infrastruktur-Meta-Dienste oder interne APIs durchzuführen, die sonst nicht vom Internet aus erreichbar sind. Version 26.0 enthält einen Patch für das Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.