CVE-2026-43879 in AVideo
Сводка
по VulDB • 21.05.2026
WWBN AVideo — это платформа для видео с открытым исходным кодом. В версиях вплоть до 29.0 включенно аутентифицированный пользователь может настроить собственный URL веб-хука для уведомлений о пожертвованиях так, чтобы он указывал на внутренние/loopback/метаданные хосты (например, http://127.0.0.1:8080/..., http://169.254.169.254/latest/..., адреса RFC1918). Когда любой другой пользователь (включая второй аккаунт, принадлежащий тому же злоумышленнику) жертвует даже незначительную сумму через плагин /plugin/CustomizeUser/donate.json.php, сервер AVideo выполняет curl POST-запрос к предоставленному злоумышленником URL, что приводит к слепому SSRF. Обработчик использует только isValidURL() (которая является проверкой формата) и не вызывает встроенную в кодовую базу вспомогательную функцию isSSRFSafeURL(). Кроме того, CURLOPT_FOLLOWLOCATION включен без перепроверки на каждом шаге, поэтому даже если сохраненный URL был бы проверен, HTTP 307 с хоста, контролируемого злоумышленником, мог бы перенаправить POST-запрос на внутренние цели. Коммит aaacd48f29f1ff71d1eb5fc81d37605f593cefa9 содержит обновленное исправление.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.