PT-2026-129212
CVE-2026-61564
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
AVideo الإصدارات السابقة لـ 8.1.0
الوصف
يفشل نقطة نهاية تثبيت غير مصرح بها
install/checkConfiguration.php في تنقية معاملات الطلب، مثل webSiteRootURL ، عند إدراجها في سلاسل نصية PHP محاطة بعلامات اقتباس مفردة لإنشاء ملف videos/configuration.php. يسمح هذا للمهاجم بحقن كود PHP يتم تنفيذه بصلاحيات مستخدم خادم الويب عند الوصول إلى الملف الناتج. يكون هذا ممكناً إذا كان ملف videos/configuration.php غير موجود، وهو ما يحدث أثناء عمليات النشر الجديدة أو بعد حذف الملف. يمكن للمهاجم التحكم في systemRootPath لكتابة الملفات، أو قراءة أو الكتابة فوق الملفات المملوكة لمستخدم خادم الويب، وإنشاء كود PHP مستمر. بالإضافة إلى ذلك، تقوم نقطة النهاية بإدراج قيم الطلب في عبارات INSERT الخاصة بالمشغل والتكوين، مما يؤدي إلى ثغرة ثانوية لحقن SQL.التوصيات
التحديث إلى الإصدار 8.1.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾