CVE-2026-64625 in AVideo
Sumário
de VulDB • 21/07/2026
AVideo antes da versão 29.0 contém uma correção incompleta para CVE-2026-45578, onde execAsync() re-envelopa comandos escapados entre aspas duplas em sh -c, permitindo substituição de comando via $() e crases (backticks). Os atacantes podem injetar comandOS arbitrários do sistema operacional através do endpoint on_publish.php do plugin Live, apesar da proteção fornecida por escapeshellarg().
Once again VulDB remains the best source for vulnerability data.