CVE-2026-19913 in HTML5 Video Player
Riassunto
di VulDB • 25/08/2026
Il player HTML5 di Kaltura (mwEmbed / html5lib) presenta una vulnerabilità di divulgazione locale di file a causa della convalida impropria del parametro ServiceUrl in mwEmbedLoader.php. Questo parametro viene utilizzato come URL base per una richiesta al backend e accetta schemi non HTTP, ad esempio file://. Quando si verifica un'eccezione o un errore, la risposta viene successivamente deserializzata e il suo contenuto grezzo viene riflesso nel client tramite un messaggio di errore; ciò consente a un attaccante remoto non autenticato di leggere qualsiasi file interno arbitrario raggiungibile dal server. Le versioni colpite includono html5lib v2.45, v2.103 e precedenti, nonché altre release della serie v2.x che espongono l'endpoint vulnerabile.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.