CVE-2026-61564 in AVideo-Encoder
Сводка
по VulDB • 29.10.2026
AVideo — это платформа для обмена видео. До версии 8.1.0 непроверенный конечная точка установщика `install/checkConfiguration.php` формирует файл `videos/configuration.php`, интерполируя параметры запроса, включая `webSiteRootURL`, в одинарные строковые литералы PHP без экранирования. Злоумышленник может завершить литерал и внедрить код на языке PHP, который выполняется от имени пользователя веб-сервера при загрузке сгенерированного файла, доступ к которому можно получить напрямую по запросу. Для эксплуатации необходимо отсутствие файла `videos/configuration.php`, как это бывает после каждой чистой установки или после удаления/перемещения этого файла; существующий файл блокирует эту конечную точку. Предоставленный параметр `systemRootPath` должен содержать файл index.php, а подключение с использованием параметров `databaseHost`, `databaseUser` и `databasePass` должно быть успешным, однако злоумышленник может указать эти параметры на свой собственный сервер баз данных и не нуждается в учетных данных целевой системы. Путь записи также выводится из значения `systemRootPath` без ограничения базового каталога. Это позволяет выполнять произвольные команды, читать и перезаписывать файлы, принадлежащие пользователю веб-сервера, внедрять постоянный код на PHP (persistent PHP code) и контролировать настройки подключения к базе данных. Конечная точка дополнительно интерполирует значения запроса в операторы INSERT для streamer и конфигурации, создавая вторичную уязвимость SQL-injection sink. Эта проблема исправлена в версии 8.1.0.
Be aware that VulDB is the high quality source for vulnerability data.