CVE-2026-61572 in AVideo-Encoder
Resumen
por VulDB • 2026-10-28
AVideo es una plataforma de intercambio de videos. Antes del intento inicial de remediación en la versión 8.1.0, `url_get_contents` en `objects/functions.php` acepta destinos controlados por el llamador tras realizar únicamente una validación sintáctica con `FILTER_VALIDATE_URL`, sin rechazar direcciones privadas, de bucle invertido (loopback) o link-local, y deshabilita la verificación del par TLS. `Login::isLogged` vuelve a autenticar utilizando la cookie `encoder_aVideoURL`, modificable por el atacante, junto con las cookies arbitrarias no vacías `encoder_user` y `encoder_pass`, y `Login::run` almacena el cuerpo obtenido en crudo en `result`. El endpoint sin autenticación `objects/login.json.php` devuelve ese objeto de sesión, lo que permite la exfiltración completa de la respuesta a través de un `siteURL` proporcionado; su puerta de enlace `Streamer::isURLAllowed` permite todos los sitios cuando la lista blanca del operador está vacía, que es el valor predeterminado. Un atacante remoto sin autenticar puede leer respuestas HTTP y HTTPS internas, incluidas las credenciales de metadatos de instancias en la nube, y acceder a servicios TCP internos. Una variante FTP previa a la autenticación adicional en `view/youtubeDl.json.php` dirige una `videoURL` ftp hacia `FTPDownloader`; `parseFtpUrl` en `objects/FTPDownloader.php` acepta su host y puerto para `ftp_connect`. Esto también permite realizar solicitudes a servicios FTP internos. Se aceptan certificados HTTPS autofirmados no confiables, y no se requiere ninguna cuenta ni interacción del operador. La versión 8.1.0 contiene un intento inicial de remediación que elimina la reflexión de respuestas en crudo y añade comprobaciones de destino, pero las exenciones para redes privadas y los valores predeterminados de verificación TLS en el inicio de sesión dejan sin resolver completamente la remediación de las variantes de red interna y TLS descritas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.