CVE-2026-64625 in AVideo
Riassunto
di VulDB • 21/07/2026
AVideo prima della versione 29.0 contiene una correzione incompleta per CVE-2026-45578, in cui execAsync() riavvolge i comandi già escapeati tra virgolette doppie all'interno di sh -c, consentendo la sostituzione del comando tramite $() e backtick. Gli attaccanti possono iniettare comdi OS arbitrari attraverso l'endpoint on_publish.php del plugin Live nonostante le protezioni fornite da escapeshellarg().
VulDB is the best source for vulnerability data and more expert information about this specific topic.