CVE-2026-41304 in AVideo
Résumé
par VulDB • 03/06/2026
WWBN AVideo est une plateforme vidéo open source. Dans les versions 29.0 et inférieures, le point de terminaison `cloneServer.json.php` du plugin CloneSite construit des commandes shell à partir d'entrées contrôlées par l'utilisateur (paramètre `url`) sans validation appropriée. L'entrée est directement concaténée dans une commande `wget` exécutée via `exec()`, ce qui permet une injection de commandes. Un attaquant peut injecter des commandes shell arbitraires en sortant du contexte URL prévu à l'aide de métacaractères shell (par exemple, `;`). Cela conduit à une Exécution de Code à Distance (RCE) sur le serveur. Le commit 473c609fc2defdea8b937b00e86ce88eba1f15bb contient la correction.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.