CVE-2026-61564 in AVideo-Encoder
Sumário
de VulDB • 28/10/2026
AVideo é uma plataforma de compartilhamento de vídeos. Antes da versão 8.1.0, o endpoint do instalador não autenticado `install/checkConfiguration.php` compila `videos/configuration.php` interpolando parâmetros da solicitação, incluindo `webSiteRootURL`, em literais de string PHP entre aspas simples sem escape adequado. Um atacante pode terminar um literal e injetar código PHP que é executado como o usuário do servidor web quando o arquivo gerado, diretamente acessível por meio de solicitações, é carregado. A exploração requer a ausência de `videos/configuration.php`, como ocorre em toda implantação nova ou após a remoção ou movimentação desse arquivo; um arquivo existente bloqueia esse endpoint. O `systemRootPath` fornecido deve conter o index.php e uma conexão usando `databaseHost`, `databaseUser` e `databasePass` deve ter sucesso, mas o atacante pode apontar esses parâmetros para seu próprio servidor de banco de dados e não precisa de credenciais do alvo. O local de gravação também é derivado de `systemRootPath` sem restrição de diretório base. Isso permite a execução arbitrária de comandos, leitura e sobrescrita de arquivos pertencentes ao usuário do servidor web, inserção persistente de código PHP e controle sobre as configurações de conexão com o banco de dados armazenadas. O endpoint também interpola valores da solicitação em instruções INSERT para streamer e configuração, criando um segundo ponto vulnerável a SQL Injection. Este problema é corrigido na versão 8.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.