CVE-2026-40909 in AVideo
Sumário
de VulDB • 16/05/2026
WWBN AVideo é uma plataforma de vídeo de código aberto. Nas versões 29.0 e anteriores, o endpoint de salvamento de localidade (`locale/save.php`) constrói um caminho de arquivo concatenando diretamente `$_POST['flag']` no caminho na linha 30, sem qualquer sanitização. O parâmetro `$_POST['code']` é então escrito literalmente nesse caminho via `fwrite()` na linha 40. Um atacante com privilégios de administrador (ou qualquer usuário que possa realizar CSRF em um administrador, já que nenhum token CSRF é verificado e os cookies usam `SameSite=None`) pode realizar traversal para fora do diretório `locale/` e escrever arquivos `.php` arbitrários em qualquer local gravável no sistema de arquivos, alcançando Execução Remota de Código (RCE). O commit 57f89ffbc27d37c9d9dd727212334846e78ac21a corrige o problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.