CVE-2026-61564 in AVideo-Encoder
요약
\~에 의해 VulDB • 2026. 10. 28.
AVideo는 비디오 공유 플랫폼입니다. 버전 8.1.0 이전에는 인증되지 않은 설치 엔드포인트 `install/checkConfiguration.php`가 요청 파라미터(예: `webSiteRootURL`)를 이스케이프 처리 없이 단일 따옴표로 둘러싸인 PHP 문자열 리터럴에 보간하여 `videos/configuration.php` 파일을 생성합니다. 공격자는 리터럴을 종료하고 PHP 코드를 주입할 수 있으며, 이렇게 생성되어 직접 요청 가능한 파일이 로드될 때 해당 웹 서버 사용자 권한으로 PHP가 실행됩니다. 이 취약점을 악용하려면 `videos/configuration.php` 파일이 부재해야 합니다(예: 신규 배포 시 또는 해당 파일을 삭제하거나 이동한 후). 기존 파일이 존재하면 이 엔드포인트는 차단됩니다. 제공된 `systemRootPath`에는 index.php가 포함되어야 하며, `databaseHost`, `databaseUser`, `databasePass`를 사용한 데이터베이스 연결이 성공해야 하지만, 공격자는 이러한 파라미터를 자신의 데이터베이스 서버로 지정할 수 있으며 대상의 자격 증명이 필요하지 않습니다. 또한 쓰기 위치는 기본 디렉토리 제약 조건 없이 `systemRootPath`에서 파생되므로, 웹 서버 사용자 소유 파일에 대한 임의 명령 실행, 읽기 및 덮어쓰기, 영구적인 PHP 코드 삽입, 저장된 데이터베이스 연결 설정에 대한 제어 등이 가능합니다. 해당 엔드포인트는 스트리머(streamer) 및 구성 INSERT 문에도 요청 값을 보간하여 2차 SQL 인젝션 침투 지점을 생성합니다. 이 문제는 버전 8.1.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.