CVE-2026-33513 in AVideo
要約
〜によって VulDB • 2026年06月22日
WWBN AVideo はオープンソースのビデオプラットフォームです。バージョン 26.0（含む）以前のバージョンでは、認証不要な API エンドポイント (`APIName=locale`) が正規化やホワイトリストによる検証を行わずにユーザー入力を `include` パスに連結します。パストラバーサルが許可されるため、Web ルート配下の任意の PHP ファイルをインクルードできます。テスト環境では既存の PHP コンテンツ（例: `view/about.php`）のファイル開示とコード実行を確認しました。攻撃者がディレクトリツリーの他の場所に PHP ファイルを設置または制御できる場合、これは RCE にエスカレーションする可能性があります。公開時点では修正バージョンは提供されていません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.