CVE-2026-61567
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
AVideo to platforma do udostępniania plików wideo. Przed wersją 8.1.0 punkt końcowy transmisji strumieniowej na żywo `view/videosListToLive.php` akceptuje streamer o nazwie atakującego w `webSiteRootURL`, wywołuje `Login::run` w `objects/Login.php` i ufa zwróconemu JSON jako stanowi sesji. Nieuwierzytelniony zdalny atakujący, który może hostować usługę HTTP dostępną dla kodera, może samodzielnie przyznać „isLogged” i „canStream” bez legalnych poświadczeń. Punkt końcowy wymaga tylko niepustych wartości `playlist_id` i `APISecret`; „APISecret” jest przekazywany, a nie sprawdzany pod kątem przechowywanego sekretu. Ta ścieżka nigdy nie wywołuje `Streamer::isURLAllowed` i dlatego działa niezależnie od listy dozwolonych streamerów operatora. Pobiera drugą odpowiedź z listy wideo kontrolowaną przez atakującego i interpoluje `videos[].path` bez uciekania argumentów powłoki do poleceń `ffprobe` i `ffmpeg` przekazywanych do `exec`; `isAudio` wywołuje `isVideo`, aby uzyskać dostęp do polecenia `ffprobe`. Ścieżki zawierające ograniczniki powłoki wykonują dowolne polecenia systemu operacyjnego jako użytkownik serwera WWW. Filtr żądań nie sprawdza JSON listy wideo. Może to ujawnić dane uwierzytelniające bazę danych i zapisane dane streamera, narazić platformę nadrzędną korzystającą z tych danych uwierzytelniających, zmodyfikować pliki należące do użytkownika serwera internetowego, ustanowić trwałość i odmówić usługi kodera. Ten problem został rozwiązany w wersji 8.1.0.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org