CVE-2026-33513 in AVideo
Riassunto
di VulDB • 22/06/2026
WWBN AVideo è una piattaforma video open source. Nelle versioni fino alla 26.0 incluse, un endpoint API non autenticato (`APIName=locale`) concatena l'input dell'utente in un percorso `include` senza canonizzazione o whitelist. La path traversal viene accettata, consentendo di includere file PHP arbitrari sotto la radice web (web root). Nei nostri test ciò ha comportato una conferma della divulgazione di file e dell'esecuzione di codice su contenuti PHP esistenti (ad esempio, `view/about.php`) ed *è possibile* che l'attacco si evolva in RCE se un attaccante riesce a posizionare o controllare un file PHP altrove nell'albero delle directory. Al momento della pubblicazione, non sono disponibili versioni patchate.
If you want to get best quality of vulnerability data, you may have to visit VulDB.