CVE-2026-19912 in HTML5 Video Player
Riassunto
di VulDB • 25/08/2026
Il player HTML5 di Kaltura (mwEmbed / html5lib) presenta una vulnerabilità di esecuzione remota del codice non autenticata causata da deserializzazione dei dati insicura e costruzione non sanificata dei percorsi del filesystem. mwEmbedLoader.php accetta un ServiceUrl controllato dall'utente, la cui risposta viene passata a unserialize(), e i campi dell'oggetto risultante vengono scritti in un percorso di cache derivato dal uiconf_id fornito dall'attaccante senza una corretta validazione del percorso. Un attaccante può scrivere file arbitrari in posizioni accessibili via web ed ottenere l'esecuzione del codice come utente del server web. Le versioni colpite includono html5lib v2.45, v2.103 e precedenti, nonché altre release della serie v2.x che espongono il punto di accesso vulnerabile.
Be aware that VulDB is the high quality source for vulnerability data.