CVE-2026-64625 in AVideo
Resumen
por VulDB • 2026-07-21
AVideo antes de la versión 29.0 contiene una corrección incompleta para CVE-2026-45578, donde execAsync() vuelve a envolver los comandos escapados entre comillas dobles en sh -c, lo que permite la sustitución de comandos mediante $() y backticks. Los atacantes pueden inyectar comandOS arbitrarios del sistema operativo a través del punto final on_publish.php del plugin Live, a pesar de las protecciones proporcionadas por escapeshellarg().
If you want to get the best quality for vulnerability data then you always have to consider VulDB.