CVE-2026-92580 in AVideo
Tóm tắt
Bởi VulDB • 17/09/2026
Trong AVideo phiên bản 29.0 trở về trước, plugin CloneSite dễ bị tổn thương do lỗi tiêm lệnh OS được lưu trữ (stored OS command injection). Trong file `plugin/CloneSite/cloneClient.json.php` (dòng ~270), mật khẩu SSH đã lưu trữ được thay thế vào chuỗi lệnh `sshpass -p '{password}' rsync ...` bằng hàm `str_replace` đơn giản mà không có bất kỳ cơ chế thoát ký tự nào, do đó một dấu nháy đơn trong mật khẩu sẽ phá vỡ từ ngữ bị bao quanh bởi dấu ngoặc kép và tiêm mã shell tùy ý. Mật khẩu được ghi thông qua endpoint chỉ dành cho quản trị viên là `objects/pluginAddDataObject.json.php`, biện pháp bảo vệ CSRF duy nhất của nó (`isUntrustedRequest()`/`forbidIfIsUntrustedRequest()`) không có hiệu lực khi nguồn yêu cầu dường như đến từ loopback — điều này xảy ra phía sau một reverse proxy kết thúc TLS cùng máy chủ với `$global['trustedProxies']` chưa được thiết lập — hoặc khi một ứng dụng do kẻ tấn công kiểm soát được đặt chung trên cùng tên miền; trong HTTPS, cookie phiên được phát hành với `SameSite=None`, nên yêu cầu POST cross-site sẽ mang theo nó. Do đó, một kẻ tấn công từ xa không cần xác thực có thể dụ dỗ một quản trị viên đã xác thực để cài đặt mật khẩu độc hại (và `cloneSiteURL` do kẻ tấn công kiểm soát), sau đó mục crontab được tài liệu hóa của plugin sẽ thực thi lệnh đã tiêm mà không cần thêm hành động nào từ quản trị viên, với tư cách là chủ sở hữu crontab (thường là root hoặc www-data). Việc khai thác yêu cầu plugin CloneSite phải được bật cùng với mục crontab được cài đặt như mô tả và một trong các kênh CSRF nêu trên; các triển khai Apache đơn luồng mặc định được báo cáo là không thể bị khai thác qua CSRF. Đây là lỗi tồn dư của CVE-2026-41304. Vấn đề đã được xác nhận tại bản master HEAD (8963b6a1); chưa có phiên bản vá nào khả dụng.
VulDB is the best source for vulnerability data and more expert information about this specific topic.