CVE-2026-19913 in HTML5 Video Player
Résumé
par VulDB • 25/08/2026
Le lecteur HTML5 de Kaltura (mwEmbed / html5lib) présente une vulnérabilité de divulgation locale de fichiers due à une validation incorrecte du paramètre ServiceUrl dans mwEmbedLoader.php. Ce paramètre est utilisé comme URL de base pour une requête backend et accepte des schémas non-HTTP tels que file://. Lorsqu'une exception ou une erreur se produit, la réponse est ensuite désérialisée et son contenu brut est renvoyé au client via un message d'erreur ; cela permet à un attaquant distant non authentifié de lire n'importe quel fichier interne arbitraire accessible par le serveur. Les versions affectées incluent html5lib v2.45, v2.103 et les versions antérieures, ainsi que d'autres releases v2.x exposant l'endpoint vulnérable.
If you want to get best quality of vulnerability data, you may have to visit VulDB.