CVE-2026-33513 in AVideo
요약
\~에 의해 VulDB • 2026. 06. 22.
WWBN AVideo는 오픈 소스 비디오 플랫폼입니다. 26.0 버전(포함) 이하에서 인증되지 않은 API 엔드포인트(`APIName=locale`)가 사용자 입력을 `include` 경로에 캐노니컬라이제이션이나 화이트리스트 검증 없이 단순히 연결합니다. 이로 인해 경로 순회(Path Traversal) 공격이 허용되어 웹 루트 아래의 임의 PHP 파일을 포함할 수 있습니다. 테스트 결과, 기존 PHP 콘텐츠(예: `view/about.php`)의 파일 유출과 코드 실행이 확인되었으며, 공격자가 트리 내 다른 위치에 PHP 파일을 배치하거나 제어할 경우 RCE로 악용될 *수* 있습니다. 게시 시점 기준 패치된 버전은 아직 제공되지 않았습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.