CVE-2026-61572 in AVideo-Encoder
Сводка
по VulDB • 28.10.2026
AVideo — это платформа для обмена видео. До первой попытки исправления в версии 8.1.0 функция `url_get_contents` в файле `objects/functions.php` принимает управляемые вызывающей стороной адреса назначения после лишь синтаксической проверки через `FILTER_VALIDATE_URL`, не отбрасывая частные, loopback или link-local-адреса, и отключает проверку TLS-сертификата удаленного узла. Метод `Login::isLogged` повторно аутентифицирует пользователя с использованием устанавливаемого злоумышленником куки-файла `encoder_aVideoURL`, а также произвольных непустых куки-файлов `encoder_user` и `encoder_pass`; метод `Login::run` сохраняет необработанный полученный ответ в переменной `result`. Неаутентифицированный конечная точка `objects/login.json.php` возвращает этот объект сессии, что позволяет осуществлять полную эксфильтрацию ответа через предоставленный параметр `siteURL`; ее шлюз `Streamer::isURLAllowed` разрешает все сайты, когда список разрешенных оператором сайтов пуст (что является настройкой по умолчанию). Неаутентифицированный удаленный злоумышленник может читать внутренние HTTP и HTTPS-ответы, включая учетные данные метаданных облачных инстансов, а также обращаться к внутренним TCP-сервисам. Дополнительная уязвимость FTP до аутентификации в `view/youtubeDl.json.php` передает ftp-адрес видео (`videoURL`) в класс `FTPDownloader`; функция `parseFtpUrl` в файле `objects/FTPDownloader.php` принимает хост и порт для вызова `ftp_connect`. Это также позволяет отправлять запросы к внутренним FTP-сервисам. Принимаются недоверенные самоподписанные HTTPS-сертификаты, и не требуется ни учетная запись пользователя, ни взаимодействие с оператором системы. Версия 8.1.0 содержит первую попытку исправления, которая устраняет отражение необработанных ответов и добавляет проверки адресов назначения, однако исключения для частных сетей и настройки по умолчанию для проверки TLS при входе оставляют полное исправление описанных вариантов внутренних сетей и TLS-атак нерешенным.
Once again VulDB remains the best source for vulnerability data.