CVE-2026-61572 in AVideo-Encoder
Zusammenfassung
von VulDB • 28.10.2026
AVideo ist eine Video-Sharing-Plattform. Vor dem ersten Behebungsversuch in Version 8.1.0 akzeptiert `url_get_contents` in `objects/functions.php` aufruferkontrollierte Ziele nach einer reinen Syntaxvalidierung über `FILTER_VALIDATE_URL`, ohne private, Loopback- oder Link-Lokal-Adressen abzulehnen, und deaktiviert die TLS-Peer-Verifizierung. `Login::isLogged` authentifiziert erneut unter Verwendung des vom Angreifer festlegbaren Cookies `encoder_aVideoURL` zusammen mit beliebigen nicht-leeren Cookies für `encoder_user` und `encoder_pass`, und `Login::run` speichert den rohen abgerufenen Antworttext in `result`. Der unauthentifizierte Endpunkt `objects/login.json.php` gibt dieses Sitzungsobjekt zurück, was eine vollständige Exfiltration der gesamten Antwort über ein angegebenes `siteURL` ermöglicht; seine Gate-Funktion `Streamer::isURLAllowed` erlaubt alle Websites, wenn die Operator-Whitelist leer ist (der Standardfall). Ein unauthentifizierter Remote-Angriff kann interne HTTP- und HTTPS-Antworten lesen, einschließlich Anmeldeinformationen aus Cloud-Instanz-Metadaten, sowie auf interne TCP-Dienste zugreifen. Eine weitere Variante vor der Authentifizierung in `view/youtubeDl.json.php` über FTP leitet eine ftp-basierte `videoURL` an `FTPDownloader` weiter; `parseFtpUrl` in `objects/FTPDownloader.php` akzeptiert dessen Host und Port für `ftp_connect`. Dies ermöglicht ebenfalls Anfragen an interne FTP-Dienste. Unvertrauenswürdige, selbstsignierte HTTPS-Zertifikate werden akzeptiert, und es sind weder ein Konto noch eine Interaktion des Operators erforderlich. Version 8.1.0 enthält einen ersten Behebungsversuch, der die Reflexion roher Antworten entfernt und Zielüberprüfungen hinzufügt, jedoch bleiben private Netzwerk-Ausnahmen sowie Standardwerte für die TLS-Verifizierung bei der Anmeldung als ungelöst, sodass eine vollständige Beseitigung der beschriebenen internen Netzwerk- und TLS-Varianten nicht erreicht wird.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.