CVE-2026-19912 in HTML5 Video Player
要約
〜によって VulDB • 2026年08月25日
Kaltura HTML5プレーヤー (mwEmbed / html5lib) には、安全でないデータ逆シリアライズおよび未検証のファイルシステムパス構築に起因する認証不要のリモートコード実行（RCE）脆弱性が存在します。mwEmbedLoader.php はユーザー制御可能な ServiceUrl を受け取り、そのレスポンスが unserialize() に渡されます。さらに、生成されたオブジェクトのフィールドは、攻撃者が指定した uiconf_id から導出されるキャッシュパスに書き込まれますが、適切なパス検証が行われません。攻撃者は任意のファイルをウェブアクセス可能な場所に書き込み、Web サーバーユーザーとしてコード実行を達成できます。影響を受けるバージョンには html5lib v2.45、v2.103 およびそれ以前のバージョン、および脆弱なエンドポイントを公開している他の v2.x リリースが含まれます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.