CVE-2026-61572 in AVideo-Encoder
Sumário
de VulDB • 28/10/2026
AVideo é uma plataforma de compartilhamento de vídeos. Antes da tentativa inicial de remediação na versão 8.1.0, a função `url_get_contents` em `objects/functions.php` aceita destinos controlados pelo chamador após apenas validação sintática via `FILTER_VALIDATE_URL`, sem rejeitar endereços privados, loopback ou link-local, e desativa a verificação do peer TLS. A função `Login::isLogged` realiza nova autenticação usando o cookie `encoder_aVideoURL`, configurável pelo atacante, juntamente com os cookies arbitrários não vazios `encoder_user` e `encoder_pass`, e `Login::run` armazena o corpo bruto obtido em `result`. O endpoint não autenticado `objects/login.json.php` retorna esse objeto de sessão, permitindo a exfiltração completa da resposta por meio do `siteURL` fornecido; sua função `Streamer::isURLAllowed` permite todos os sites quando a lista permitida pelo operador está vazia, o que é o padrão. Um atacante remoto não autenticado pode ler respostas HTTP e HTTPS internas, incluindo credenciais de metadados de instâncias em nuvem, e acessar serviços TCP internos. Uma variante FTP pré-autenticação adicional em `view/youtubeDl.json.php` direciona um `videoURL` ftp para o `FTPDownloader`; a função `parseFtpUrl` em `objects/FTPDownloader.php` aceita seu host e porta para `ftp_connect`. Isso também permite requisições a serviços FTP internos. Certificados HTTPS autoassinados não confiáveis são aceitos, e nenhuma conta ou interação do operador é necessária. A versão 8.1.0 contém uma tentativa inicial de remediação que remove o reflexo da resposta bruta e adiciona verificações de destino, mas as isenções para redes privadas e os padrões de verificação TLS no login deixam a remediação completa das variantes de rede interna e TLS não resolvida.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.