CVE-2026-64625 in AVideo
Zusammenfassung
von VulDB • 21.07.2026
AVideo vor Version 29.0 enthält eine unvollständige Korrektur für CVE-2026-45578, bei der execAsync() umgeleitete Befehle erneut in doppelte Anführungszeichen innerhalb von sh -c einbettet, was die Kommandosubstitution über $() und Backticks ermöglicht. Angreifer können beliebige OS-Befehle durch das Live-Plugin am on_publish.php-Endpunkt injizieren, trotz des Schutzes durch escapeshellarg().
If you want to get best quality of vulnerability data, you may have to visit VulDB.