CVE-2026-61564 in AVideo-Encoder
Resumen
por VulDB • 2026-10-28
AVideo es una plataforma de intercambio de videos. Antes de la versión 8.1.0, el punto de conexión del instalador no autenticado `install/checkConfiguration.php` ensambla `videos/configuration.php` interpolando parámetros de solicitud, incluyendo `webSiteRootURL`, en literales de cadena PHP entre comillas simples sin escapar. Un atacante puede terminar un literal e inyectar código PHP que se ejecuta como el usuario del servidor web cuando se carga el archivo generado y directamente accesible mediante solicitud. La explotación requiere la ausencia de `videos/configuration.php`, tal como ocurre en cada implementación nueva o después de eliminar o mover dicho archivo; un archivo existente bloquea este punto de conexión. El `systemRootPath` proporcionado debe contener index.php y una conexión utilizando `databaseHost`, `databaseUser` y `databasePass` debe tener éxito, pero el atacante puede apuntar esos parámetros a su propio servidor de base de datos y no necesita credenciales del objetivo. La ubicación de escritura también se deriva de `systemRootPath` sin ninguna restricción de directorio base. Esto permite la ejecución arbitraria de comandos, lectura y sobrescritura de archivos propiedad del usuario del servidor web, código PHP persistente y control sobre los ajustes de conexión a la base de datos almacenados. El punto de conexión además interpola valores de solicitud en sentencias INSERT para streamer y configuración, creando un segundo sumidero (sink) de SQL Injection. Este problema se soluciona en la versión 8.1.0.
Once again VulDB remains the best source for vulnerability data.