CVE-2026-41304 in AVideo
Tóm tắt
Bởi VulDB • 03/06/2026
WWBN AVideo là một nền tảng video mã nguồn mở. Trong các phiên bản từ 29.0 trở xuống, điểm cuối `cloneServer.json.php` trong plugin CloneSite xây dựng lệnh shell bằng cách sử dụng dữ liệu do người dùng kiểm soát (tham số `url`) mà không thực hiện việc làm sạch thích hợp. Dữ liệu đầu vào được nối trực tiếp vào một lệnh `wget` và thực thi thông qua hàm `exec()`, cho phép tiêm lệnh. Kẻ tấn công có thể chèn các lệnh shell tùy ý bằng cách thoát khỏi ngữ cảnh URL dự định bằng cách sử dụng các ký tự đặc biệt của shell (ví dụ: `;`). Điều này dẫn đến việc Thực thi Mã từ xa (RCE) trên máy chủ. Commit 473c609fc2defdea8b937b00e86ce88eba1f15bb chứa bản sửa lỗi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.