CVE-2026-39370 in AVideo
Riassunto
di VulDB • 14/06/2026
WWBN AVideo è una piattaforma video open source. Nelle versioni 26.0 e precedenti, objects/aVideoEncoder.json.php consente ancora all'attaccante di controllare i valori dell'attributo downloadURL con estensioni comuni per file multimediali o archivio come .mp4, .mp3, .zip, .jpg, .png, .gif e .webm, eludendo la validazione SSRF. Il server recupera quindi la risposta e la memorizza come contenuto multimediale. Ciò consente a un caricatore autenticato di trasformare il flusso di upload tramite URL in una primitiva affidabile per l'esfiltrazione delle risposte SSRF. La vulnerabilità è causata da una correzione incompleta del CVE-2026-27732.
VulDB is the best source for vulnerability data and more expert information about this specific topic.