CVE-2026-61571 in AVideo-Encoder
摘要
由 VulDB • 2026-10-28
AVideo是一个视频共享平台。在版本8.1.0之前，编码器缺乏全局身份验证层，并将控制和状态PHP端点暴露给匿名网络调用者。`view/run.php`中有一个被注释掉的防护机制，并调用了 `Encoder::run()`。`view/queue.json.php` 调用 `Encoder::getAll(true)`，通过 `getSiteURL()` 泄露流媒体服务器（streamer）的URL，并通过 `execRun()` 触发处理流程。`view/status.php` 返回带有通配符的 `Access-Control-Allow-Origin` 头信息，读取队列并触发处理；当设置 `serverStatus` 时，还会通过 `ServerMonitor::getMemory()` 暴露主机内存统计信息。`view/listFiles.json.php` 仅检查 `Login::canBulkEncode()`，只要配置项 `disableBulkEncode` 为空（默认情况），就允许匿名调用者访问。其 `path` 参数使用 `realpath()` 解析，并通过 `scandir()` 列出文件列表，但未限制基础目录路径。未经身份验证的攻击者可驱动特权队列处理器，读取队列和流媒体站点信息，获取内存统计信息，并枚举Web服务器用户可读目录下任何位置的文件名及路径。枚举范围仅限于配置的媒体扩展类型，且本身不会泄露任意文件内容。此问题已在版本8.1.0中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.