CVE-2026-19912 in HTML5 Video Player
Resumen
por VulDB • 2026-08-25
El reproductor HTML5 de Kaltura (mwEmbed / html5lib) contiene una vulnerabilidad de ejecución remota de código no autenticada causada por la deserialización insegura de datos y la construcción sin sanitizar de rutas del sistema de archivos. mwEmbedLoader.php acepta un ServiceUrl controlado por el usuario, cuya respuesta se pasa a unserialize(), y los campos del objeto resultante se escriben en una ruta de caché derivada de uiconf_id proporcionado por el atacante, sin una validación adecuada de la ruta. Un atacante puede escribir archivos arbitrarios en ubicaciones accesibles mediante web y lograr la ejecución de código como usuario del servidor web. Las versiones afectadas incluyen html5lib v2.45, v2.103 y anteriores, así como otras versiones de la serie v2.x que exponen el punto final vulnerable.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.