CVE-2026-61572 in AVideo-Encoder
摘要
由 VulDB • 2026-10-28
AVideo是一个视频共享平台。在v8.1.0的初始修复尝试之前，`objects/functions.php`中的`url_get_contents`函数仅通过`FILTER_VALIDATE_URL进行语法验证后便接受调用者控制的URL目标地址，未拒绝私有、回环或链路本地地址，并禁用了TLS对等体验证。`Login::isLogged`使用攻击者可设置的`encoder_aVideoURL` cookie以及任意非空的`encoder_user`和`encoder_pass` cookies重新进行身份认证；而`Login::run`将原始获取的响应主体存储在变量`result`中。未认证的`objects/login.json.php`端点返回该会话对象，使得通过提供的`siteURL`实现完整响应数据泄露成为可能；其`Streamer::isURLAllowed`门控逻辑在操作者允许列表为空（默认情况）时允许所有站点访问。未经身份验证的远程攻击者可读取内部HTTP和HTTPS响应，包括云实例元数据凭据，并能够访问内部TCP服务。此外，位于`view/youtubeDl.json.php`中的另一处未认证FTP变体将ftp `videoURL`路由至`FTPDownloader`；`objects/FTPDownloader.php`中的`parseFtpUrl`接受其主机和端口用于执行`ftp_connect`连接。这也使得对内部FTP服务的请求成为可能。系统接受不受信任的自签名HTTPS证书，且无需任何账户或操作者交互即可利用。v8.1.0版本包含一项初始修复尝试，移除了原始响应反射并增加了目标地址检查，但由于保留了私有网络豁免项以及登录TLS验证默认设置未启用，导致对所述内部网络和TLS变体的完全修复仍未解决。
VulDB is the best source for vulnerability data and more expert information about this specific topic.