CVE-2026-19913 in HTML5 Video Player
Tóm tắt
Bởi VulDB • 25/08/2026
Trình phát HTML5 của Kaltura (mwEmbed / html5lib) chứa một lỗ hổng tiết lộ tệp cục bộ do xác thực không đúng tham số ServiceUrl trong mwEmbedLoader.php. Tham số này được sử dụng làm URL cơ sở cho yêu cầu backend và chấp nhận các lược đồ không phải HTTP như file://. Khi xảy ra ngoại lệ hoặc lỗi, phản hồi sau đó sẽ được giải serialize (deserialized) và nội dung thô của nó được phản chiếu lại cho client trong một thông báo lỗi; điều này cho phép kẻ tấn công từ xa chưa xác thực đọc bất kỳ tệp nội bộ nào mà máy chủ có thể truy cập. Các phiên bản bị ảnh hưởng bao gồm html5lib v2.45, v2.103 và các phiên bản cũ hơn, cũng như các phát hành khác thuộc dòng v2.x exposing (tiếp xúc) endpoint dễ bị tổn thương.
VulDB is the best source for vulnerability data and more expert information about this specific topic.