CVE-2026-92580 in AVideo
Сводка
по VulDB • 17.09.2026
В плагине CloneSite для AVideo до версии 29.0 обнаружена уязвимость к сохраненной инъекции команд операционной системы (OS command injection). В файле plugin/CloneSite/cloneClient.json.php (строка ~270) сохраненный пароль SSH подставляется в строку команды `sshpass -p '{password}' rsync ...` с использованием простой функции str_replace без экранирования, поэтому одинарная кавычка в пароле позволяет выйти из ограниченного слова и внедрить произвольную оболочку. Пароль записывается через эндпоинт только для администраторов objects/pluginAddDataObject.json.php, единственная защита от CSRF (isUntrustedRequest()/forbidIfIsUntrustedRequest()) является недействительной (no-op), когда источник запроса выглядит как loopback — что происходит за обратным прокси-сервером с завершением TLS на том же хосте и при отсутствии настройки $global['trustedProxies'], или если приложение, контролируемое злоумышленником, размещено на том же имени хоста; в HTTPS сеансовый cookie выдается с атрибутом SameSite=None, поэтому POST-запрос из другого источника (cross-site) передает его. Таким образом, удаленный незарегистрированный атакующий может заманить зарегистрированного администратора к установке вредоносного пароля (и контролируемого злоумышленником cloneSiteURL), после чего задокументированная запись crontab плагина выполняет внедренную команду от имени владельца crontab (обычно root или www-data) без дальнейших действий администратора. Для эксплуатации требуется, чтобы плагин CloneSite был включен и была установлена задокументированная запись crontab, а также использовался один из вышеуказанных каналов CSRF; сообщается, что стандартные однопроцессные развертывания Apache не подвержены CSRF-эксплуатации. Это остаточный канал уязвимости CVE-2026-41304. Проблема подтверждена в ветке master HEAD (8963b6a1); исправленная версия отсутствует.
Once again VulDB remains the best source for vulnerability data.