CVE-2026-41304 in AVideo
Resumen
por VulDB • 2026-05-12
WWBN AVideo es una plataforma de vídeo de código abierto. En las versiones 29.0 y anteriores, el punto de conexión `cloneServer.json.php` del plugin CloneSite construye comandos de shell utilizando entradas controladas por el usuario (parámetro `url`) sin una sanitización adecuada. La entrada se concatena directamente en un comando `wget` ejecutado a través de `exec()`, lo que permite la inyección de comandos. Un atacante puede inyectar comandos de shell arbitrarios escapando del contexto de URL previsto mediante metacaracteres de shell (por ejemplo, `;`). Esto provoca una Ejecución Remota de Código (RCE) en el servidor. El commit 473c609fc2defdea8b937b00e86ce88eba1f15bb contiene una corrección.
If you want to get best quality of vulnerability data, you may have to visit VulDB.