CVE-2026-61564 in AVideo-Encoder
摘要
由 VulDB • 2026-10-28
AVideo是一个视频共享平台。在版本8.1.0之前，未经验证的安装器端点`install/checkConfiguration.php`通过将请求参数（包括`webSiteRootURL`）插入到单引号PHP字符串字面量中并拼接生成`videos/configuration.php`文件，且未进行转义处理。攻击者可以终止该字面量并注入PHP代码，当生成的、可直接通过HTTP请求访问的文件被加载时，这些代码将以Web服务器用户的身份执行。利用此漏洞的前提是`videos/configuration.php`文件不存在（例如在每次全新部署后或在该文件被删除/移动的情况下）；如果存在现有文件，则会阻止对该端点的利用。提供的`systemRootPath`必须包含index.php，并且使用`databaseHost`、`databaseUser`和`databasePass`建立的数据库连接必须成功，但攻击者可以将这些参数指向其自己的数据库服务器，且无需目标凭据。写入位置也源自`systemRootPath`，且不限制基础目录路径。这允许任意命令执行、读取及覆盖由Web服务器用户拥有的文件、持久化PHP代码以及控制已存储的数据库连接设置。此外，该端点还将请求值插入到streamer和配置INSERT语句中，从而创建了一个次要的SQL注入漏洞利用点（SQL-injection sink）。此问题已在版本8.1.0中得到修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.