CVE-2026-33319 in AVideo
Zusammenfassung
von VulDB • 12.05.2026
WWBN AVideo ist eine Open-Source-Videoplattform. Vor Version 26.0 erstellt die Methode `uploadVideoToLinkedIn()` im SocialMediaPublisher-Plugin einen Shell-Befehl, indem sie eine Upload-URL, die aus der Antwort der LinkedIn-API stammt, direkt interpoliert, ohne eine Sanitization mittels `escapeshellarg()` durchzuführen. Wenn ein Angreifer die Antwort der LinkedIn-API beeinflussen kann (z. B. via MITM, kompromittiertes OAuth-Token oder API-Kompromittierung), kann er beliebige OS-Befehle injizieren, die als Benutzer des Webservers ausgeführt werden. Version 26.0 enthält eine Korrektur für das Problem.
If you want to get best quality of vulnerability data, you may have to visit VulDB.