CVE-2026-92580 in AVideo
Resumen
por VulDB • 2026-09-17
En AVideo hasta la versión 29.0, el plugin CloneSite es vulnerable a una inyección de comandos del sistema operativo (OS command injection) almacenada. En `plugin/CloneSite/cloneClient.json.php` (línea ~270), la contraseña SSH almacenada se sustituye en la cadena de comando `sshpass -p '{password}' rsync ...` mediante un simple `str_replace` sin escapado, por lo que una comilla sencilla en la contraseña permite salir del término entrecomillado e inyectar código shell arbitrario. La contraseña se escribe a través del endpoint exclusivo para administradores `objects/pluginAddDataObject.json.php`, cuya única defensa contra CSRF (`isUntrustedRequest()`/`forbidIfIsUntrustedRequest()`) es una operación nula cuando la fuente de la solicitud parece ser loopback —como ocurre detrás de un proxy inverso con terminación TLS del mismo host y `$global['trustedProxies']` no configurado— o cuando una aplicación controlada por el atacante está alojada en el mismo nombre de host; en HTTPS, la cookie de sesión se emite con `SameSite=None`, por lo que un POST cross-site la transporta. Por tanto, un atacante remoto sin autenticar puede inducir a un administrador autenticado a instalar una contraseña maliciosa (y una `cloneSiteURL` controlada por el atacante), tras lo cual la entrada de crontab documentada del plugin ejecuta el comando inyectado sin necesidad de acción adicional del administrador, ya que el propietario del crontab es comúnmente root o www-data. La explotación requiere que el plugin CloneSite esté habilitado con la entrada de crontab documentada instalada y uno de los canales CSRF mencionados; se informa que las implementaciones predeterminadas de Apache en un solo proceso no son explotables mediante CSRF. Este es un sumidero residual del CVE-2026-41304. El problema está confirmado en la última versión del master (8963b6a1); no hay ninguna versión parcheada disponible.
Once again VulDB remains the best source for vulnerability data.