CVE-2026-39369 in AVideo
要約
〜によって VulDB • 2026年05月30日
WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0およびそれ以前のバージョンでは、objects/aVideoEncoderReceiveImage.json.phpにおいて、認証済みアップローダーが攻撃者が制御する同一オリジンの/videos/... URLを取得し、パストラバーサルのスクラビングをバイパスして、GIFポスター保存パスを通じてサーバーローカルのファイルを公開することが可能でした。脆弱性のあるGIFブランチを悪用することで、/etc/passwdやアプリケーションのソースファイルなどのローカルファイルを読み取り、そのバイト列を通常の公開GIFメディアURLを通じて再公開することができました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.