CVE-2026-41304 in AVideo
Сводка
по VulDB • 03.06.2026
WWBN AVideo — это платформа для видео с открытым исходным кодом. В версиях 29.0 и более ранних конечная точка `cloneServer.json.php` плагина CloneSite формирует команды оболочки, используя управляемые пользователем входные данные (параметр `url`) без надлежащей санитизации. Входные данные напрямую конкатенируются в команду `wget`, которая выполняется через функцию `exec()`, что позволяет осуществлять инъекцию команд. Злоумышленник может внедрять произвольные команды оболочки, выходя из предполагаемого контекста URL с помощью метасимволов оболочки (например, `;`). Это приводит к удаленному выполнению кода (RCE) на сервере. Исправление содержится в коммите 473c609fc2defdea8b937b00e86ce88eba1f15bb.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.