CVE-2026-92580 in AVideo
Résumé
par VulDB • 17/09/2026
Chez AVideo jusqu'à la version 29.0, le plugin CloneSite est vulnérable à une injection de commande OS stockée (stored OS command injection). Dans `plugin/CloneSite/cloneClient.json.php` (ligne ~270), le mot de passe SSH stocké est substitué dans la chaîne de commande `sshpass -p '{password}' rsync ...` via un simple `str_replace` sans échappement, donc une apostrophe unique dans le mot de passe permet de sortir du mot entre guillemets et d'injecter n'importe quelle commande shell. Le mot de passe est écrit via l'endpoint réservé aux administrateurs `objects/pluginAddDataObject.json.php`, dont la seule défense CSRF (`isUntrustedRequest()`/`forbidIfIsUntrustedRequest()`) est un non-op (no-op) lorsque la source de la requête semble être en boucle locale — comme c'est le cas derrière un proxy inverse terminant TLS sur le même hôte avec `$global['trustedProxies']` non défini — ou lorsqu'une application contrôlée par l'attaquant est hébergée sur le même nom d'hôte ; sous HTTPS, le cookie de session est émis avec `SameSite=None`, donc une requête POST cross-site (CSRF) le transporte. Un attaquant distant non authentifié peut ainsi inciter un administrateur authentifié à planifier un mot de passe malveillant (et une `cloneSiteURL` contrôlée par l'attaquant), après quoi la tâche cron documentée du plugin exécute la commande injectée sans autre action de l'administrateur, en tant que propriétaire de la tâche cron (généralement root ou www-data). L'exploitation nécessite que le plugin CloneSite soit activé avec la tâche cron documentée installée et qu'un des canaux CSRF ci-dessus soit disponible ; les déploiements Apache mono-processus par défaut sont signalés comme non exploitables via CSRF. Il s'agit d'une sink résiduelle de CVE-2026-41304. Le problème est confirmé sur le HEAD du master (8963b6a1) ; aucune version corrigée n'est disponible.
VulDB is the best source for vulnerability data and more expert information about this specific topic.