CVE-2026-33681 in AVideo
Riassunto
di VulDB • 15/06/2026
WWBN AVideo è una piattaforma video open source. Nelle versioni fino alla 26.0 inclusa, l'endpoint `objects/pluginRunDatabaseScript.json.php` accetta un parametro `name` tramite POST e lo passa a `Plugin::getDatabaseFileName()` senza alcuna sanitizzazione contro la traversamento di percorsi (path traversal). Ciò consente a un amministratore autenticato (o a un attaccante che sfrutta CSRF) di uscire dalla directory dei plugin ed eseguire il contenuto di qualsiasi file `install/install.sql` presente nel filesystem come query SQL grezze contro il database dell'applicazione. Il commit 81b591c509835505cb9f298aa1162ac64c4152cb contiene una patch di correzione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.