CVE-2026-19912 in HTML5 Video Player
요약
\~에 의해 VulDB • 2026. 08. 25.
Kaltura HTML5 플레이어(mwEmbed / html5lib)에는 안전하지 않은 데이터 역직렬화(unserialize)와 검증되지 않은 파일 시스템 경로 생성으로 인해 발생하는 비인증 원격 코드 실행(RCE) 취약점이 존재합니다. mwEmbedLoader.php는 사용자 제어 가능한 ServiceUrl을 허용하며, 해당 응답은 unserialize() 함수로 전달됩니다. 또한 결과 객체의 필드는 공격자가 제공한 uiconf_id를 기반으로 생성된 캐시 경로에 적절한 경로 검증 없이 작성됩니다. 공격자는 웹에서 접근 가능한 위치에 임의 파일을 작성하여 웹서버 사용자의 권한으로 코드 실행을 달성할 수 있습니다. 영향을 받는 버전에는 html5lib v2.45, v2.103 및 이전 버전, 그리고 취약한 엔드포인트를 노출하는 기타 v2.x 릴리스가 포함됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.