CVE-2026-92580 in AVideo
Riassunto
di VulDB • 17/09/2026
In AVideo fino alla versione 29.0, il plugin CloneSite è vulnerabile a iniezione di comandi OS memorizzata (stored). In `plugin/CloneSite/cloneClient.json.php` (riga ~270), la password SSH memorizzata viene sostituita nella stringa di comando `sshpass -p '{password}' rsync ...` mediante una semplice `str_replace` senza alcun escaping; pertanto, un singolo apice nella password permette di uscire dalla parola tra virgolette e iniettare shell arbitraria. La password è scritta tramite l'endpoint riservato agli amministratori `objects/pluginAddDataObject.json.php`, la cui unica difesa CSRF (`isUntrustedRequest()`/`forbidIfIsUntrustedRequest()`) risulta inefficace (no-op) quando la sorgente della richiesta sembra essere in loopback — come avviene dietro un reverse proxy che termina TLS sullo stesso host con `$global['trustedProxies']` non impostato — oppure quando un'applicazione controllata dall'attaccante è ospitata nello stesso hostname; su HTTPS il cookie di sessione viene emesso con `SameSite=None`, quindi una POST cross-site lo trasporta. Un attaccante remoto non autenticato può pertanto indurre un amministratore autenticato a inserire una password malevola (e un `cloneSiteURL` controllato dall'attaccante), dopodiché la voce crontab documentata del plugin esegue il comando iniettato senza ulteriore azione da parte dell'amministratore, poiché l'esecutore della crontab è comunemente root o www-data. Lo sfruttamento richiede che il plugin CloneSite sia abilitato con la crontab documentata installata e che sia disponibile uno dei canali CSRF sopra descritti; le distribuzioni Apache a singolo processo predefinite sono segnalate come non sfruttabili tramite CSRF. Questo è un residual sink di CVE-2026-41304. Il problema è confermato all'HEAD del master (8963b6a1); nessuna versione patchata è disponibile.
If you want to get best quality of vulnerability data, you may have to visit VulDB.