CVE-2026-33238 in AVideo
Resumen
por MITRE • 2026-03-21
WWBN AVideo es una plataforma de video de código abierto. Antes de la versión 26.0, el endpoint 'listFiles.json.php' acepta un parámetro POST 'path' y lo pasa directamente a 'glob()' sin restringir la ruta a un directorio base permitido. Un cargador autenticado puede recorrer todo el sistema de archivos del servidor al proporcionar rutas absolutas arbitrarias, enumerando nombres de archivo .mp4 y sus rutas absolutas completas del sistema de archivos dondequiera que existan en el servidor — incluyendo ubicaciones fuera de la raíz web, como directorios de medios privados o premium. La versión 26.0 contiene un parche para el problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.