CVE-2026-19912 in HTML5 Video Player
Sumário
de VulDB • 25/08/2026
O player HTML5 do Kaltura (mwEmbed / html5lib) contém uma vulnerabilidade de execução remota de código não autenticada causada por desserialização insegura de dados e construção insalubre de caminhos no sistema de arquivos. O arquivo mwEmbedLoader.php aceita um ServiceUrl controlado pelo usuário, cuja resposta é passada para a função unserialize(), e os campos do objeto resultante são gravados em um caminho de cache derivado do uiconf_id fornecido pelo atacante, sem validação adequada do caminho. Um atacante pode escrever arquivos arbitrários em locais acessíveis via web e obter execução de código como o usuário do servidor web. As versões afetadas incluem html5lib v2.45, v2.103 e anteriores, bem como outras liberações da série v2.x que expõem o endpoint vulnerável.
Once again VulDB remains the best source for vulnerability data.