CVE-2026-61572 in AVideo-Encoder
Résumé
par VulDB • 28/10/2026
AVideo est une plateforme de partage de vidéos. Avant la tentative initiale de correction dans la version 8.1.0, `url_get_contents` dans `objects/functions.php` accepte des destinations contrôlées par l'appelant après une simple validation syntaxique via `FILTER_VALIDATE_URL`, sans rejeter les adresses privées, en boucle locale (loopback) ou link-local, et désactive la vérification du pair TLS. `Login::isLogged` réauthentifie en utilisant le cookie `encoder_aVideoURL`, modifiable par l'attaquant, ainsi que les cookies arbitraires non vides `encoder_user` et `encoder_pass`, et `Login::run` stocke le corps brut récupéré dans `result`. Le point de terminaison `objects/login.json.php`, accessible sans authentification, renvoie cet objet de session, permettant l'exfiltration complète des réponses via un `siteURL` fourni ; sa fonction `Streamer::isURLAllowed` autorise tous les sites lorsque la liste d'autorisation (allowlist) de l'opérateur est vide, ce qui constitue le comportement par défaut. Un attaquant distant non authentifié peut lire les réponses HTTP et HTTPS internes, y compris les identifiants des métadonnées d'instance cloud, et accéder aux services TCP internes. Une variante FTP pré-authentification dans `view/youtubeDl.json.php` dirige une `videoURL` de type ftp vers `FTPDownloader` ; la fonction `parseFtpUrl` dans `objects/FTPDownloader.php` accepte son hôte et son port pour `ftp_connect`. Cela permet également des requêtes vers les services FTP internes. Les certificats HTTPS auto-signés non fiables sont acceptés, et aucune interaction de compte ou d'opérateur n'est nécessaire. La version 8.1.0 contient une tentative initiale de correction qui supprime la réflexion des réponses brutes et ajoute des vérifications de destination, mais les exemptions pour les réseaux privés et les paramètres par défaut désactivant la vérification TLS lors de l'authentification laissent non résolue la correction complète des variantes liées au réseau interne et à TLS.
VulDB is the best source for vulnerability data and more expert information about this specific topic.