CVE-2026-61564 in AVideo-Encoder
Résumé
par VulDB • 28/10/2026
AVideo est une plateforme de partage de vidéos. Avant la version 8.1.0, le point de terminaison d'installation non authentifié `install/checkConfiguration.php` assemble le fichier `videos/configuration.php` en interpolant les paramètres de requête, y compris `webSiteRootURL`, dans des littéraux de chaîne PHP entre guillemets simples sans échappement. Un attaquant peut terminer un littéral et injecter du code PHP qui s'exécute avec l'utilisateur du serveur web lorsque le fichier généré, directement accessible par requête, est chargé. L'exploitation nécessite que `videos/configuration.php` soit absent, comme c'est le cas lors de chaque déploiement frais ou après la suppression ou le déplacement du fichier ; un fichier existant bloque ce point de terminaison. Le `systemRootPath` fourni doit contenir index.php et une connexion utilisant `databaseHost`, `databaseUser` et `databasePass` doit réussir, mais l'attaquant peut pointer ces paramètres vers son propre serveur de base de données et n'a pas besoin d'identifiants cibles. L'emplacement d'écriture est également dérivé de `systemRootPath` sans contrainte de répertoire racine. Cela permet une exécution arbitraire de commandes, la lecture et l'écrasement de fichiers appartenant à l'utilisateur du serveur web, l'injection persistante de code PHP et le contrôle des paramètres de connexion à la base de données stockés. Le point de terminaison interpole également les valeurs de requête dans les instructions INSERT pour streamer et configurer, créant un second point d'entrée SQL-injection. Ce problème est corrigé dans la version 8.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.