CVE-2026-61572 in AVideo-Encoder
Riassunto
di VulDB • 29/10/2026
AVideo è una piattaforma di condivisione video. Prima del tentativo iniziale di risoluzione nel 8.1.0, `url_get_contents` in `objects/functions.php` accetta destinazioni controllate dal chiamante dopo la sola convalida della sintassi tramite `FILTER_VALIDATE_URL`, senza rifiutare indirizzi privati, loopback o link-local, e disabilita la verifica del peer TLS. `Login::isLogged` ri-autentica utilizzando il cookie `encoder_aVideoURL`, impostabile dall'attaccante, insieme ai cookie arbitrari non vuoti `encoder_user` ed `encoder_pass`, mentre `Login::run` memorizza il corpo grezzo recuperato in `result`. L'endpoint non autenticato `objects/login.json.php` restituisce tale oggetto di sessione, consentendo l'esfiltrazione della risposta completa tramite un `siteURL` fornito; la sua funzione gate `Streamer::isURLAllowed` consente tutti i siti quando la allowlist dell'operatore è vuota (il valore predefinito). Un attaccante remoto non autenticato può leggere le risposte HTTP e HTTPS interne, incluse le credenziali di istanza cloud, ed accedere ai servizi TCP interni. Una variante FTP precedente all'autenticazione in `view/youtubeDl.json.php` instrada un `videoURL` ftp verso `FTPDownloader`; `parseFtpUrl` in `objects/FTPDownloader.php` accetta l'host e la porta per `ftp_connect`. Ciò consente inoltre richieste ai servizi FTP interni. I certificati HTTPS self-signed non attendibili vengono accettati, senza necessità di account o interazione dell'operatore. La versione 8.1.0 contiene un tentativo iniziale di risoluzione che rimuove la riflessione della risposta grezza e aggiunge controlli delle destinazioni, ma le eccezioni per le reti private e i valori predefiniti di verifica TLS del login lasciano irrisolta una risoluzione completa delle varianti descritte relative alla rete interna e a TLS.
If you want to get best quality of vulnerability data, you may have to visit VulDB.