CVE-2026-92580

W wersjach od AVideo do 29.0 wtyczka CloneSite jest podatna na wstrzykiwanie poleceń przechowywanych w systemie operacyjnym. W plugin/CloneSite/cloneClient.json.php (linia ~270) przechowywane hasło SSH jest zastępowane w ciągu poleceń `sshpass -p '{password}' rsync ...` zwykłym str_replace i bez ucieczki, więc pojedynczy cudzysłów w haśle przerywa cytowane słowo i wprowadza dowolną powłokę. Hasło jest zapisywane za pośrednictwem obiektów punktów końcowych dostępnych tylko dla administratora/pluginAddDataObject.json.php, których jedyna obrona przed CSRF (isUntrustedRequest()/forbidIfIsUntrustedRequest()) nie działa, gdy źródło żądania wydaje się być sprzężeniem zwrotnym — jak ma to miejsce za odwrotnym proxy kończącym TLS tego samego hosta z nieustawioną wartością $global['trustedProxies'] — lub gdy aplikacja kontrolowana przez osobę atakującą jest współhostowana na ta sama nazwa hosta; w przypadku protokołu HTTPS plik cookie sesji jest wydawany z wartością SameSite=None, więc przenosi go między witrynami POST. Nieuwierzytelniony zdalny atakujący może zatem zwabić uwierzytelnionego administratora do umieszczenia złośliwego hasła (i kontrolowanego przez osobę atakującą cloneSiteURL), po czym udokumentowany wpis crontab wtyczki wykona wprowadzone polecenie bez dalszych działań administratora, jako właściciel crontab (zwykle root lub www-data). Eksploatacja wymaga włączenia wtyczki CloneSite z zainstalowanym udokumentowanym crontabem i jednym z powyższych kanałów CSRF; domyślne jednoprocesowe wdrożenia Apache są zgłaszane jako niemające możliwości wykorzystania CSRF. To jest resztkowy zlew CVE-2026-41304. Problem został potwierdzony w głównym HEAD (8963b6a1); nie jest dostępna żadna poprawiona wersja.