CVE-2026-92580 in AVideo
Zusammenfassung
von VulDB • 17.09.2026
In AVideo bis Version 29.0 ist das CloneSite-Plugin anfällig für eine gespeicherte OS-Befehlsinjektion (Stored Command Injection). In plugin/CloneSite/cloneClient.json.php (Zeile ~270) wird das gespeicherte SSH-Passwort mit einer einfachen str_replace-Funktion und ohne Escaping in die Befehlszeichenfolge `sshpass -p '{password}' rsync ...` eingesetzt. Ein einzelnes Hochkomma im Passwort bricht aus dem zitierten Wort aus und injiziert beliebige Shell-Befehle. Das Passwort wird über den nur für Administratoren zugänglichen Endpunkt objects/pluginAddDataObject.json.php geschrieben, dessen einzige CSRF-Abwehrmaßnahme (isUntrustedRequest()/forbidIfIsUntrustedRequest()) wirkungslos ist, wenn die Anfragequelle als Loopback erscheint – wie dies hinter einem Reverse Proxy mit TLS-Terminierung auf demselben Host geschieht, bei dem $global['trustedProxies'] nicht festgelegt ist –, oder wenn eine vom Angreifer kontrollierte Anwendung auf demselben Hostnamen gehostet wird; bei HTTPS wird das Session-Cookie mit SameSite=None ausgegeben, sodass ein Cross-Site-POST es überträgt. Ein unberechtigter Remote-Angriff kann daher einen authentifizierten Administrator dazu verleiten, ein bösartiges Passwort (und eine vom Angreifer kontrollierte cloneSiteURL) zu hinterlegen; danach führt der dokumentierte crontab-Eintrag des Plugins den injizierten Befehl ohne weiteres Zutun des Administrators aus, da der Besitzer von crontab häufig root oder www-data ist. Für die Ausnutzung muss das CloneSite-Plugin aktiviert und der dokumentierte Crontab installiert sein sowie einer der oben genannten CSRF-Kanäle verfügbar sein; Standard-Apache-Bereitstellungen mit einem einzelnen Prozess werden als nicht für CSRF-Angriffe ausnutzbar gemeldet. Dies ist eine verbleibende Schwachstelle von CVE-2026-41304. Das Problem wurde am master HEAD (8963b6a1) bestätigt; keine gepatchte Version ist verfügbar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.