PT-2026-129213
CVE-2026-61567
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
AVideo الإصدارات السابقة لـ 8.1.0
الوصف
يمكن لمهاجم عن بُعد غير مصرح له تنفيذ أوامر نظام التشغيل بصلاحيات مستخدم خادم الويب. تكمن المشكلة في نقطة نهاية البث المباشر
view/videosListToLive.php التي تقبل اسم بث يحدده المهاجم في المعلمة webSiteRootURL. يقوم النظام باستدعاء الدالة Login::run() في objects/Login.php ويثق في ملف JSON العائد كحالة للجلسة، مما يسمح للمهاجم بمنح نفسه صلاحيات isLogged و canStream دون الحاجة إلى بيانات اعتماد مشروعة. تتجاوز هذه العملية فحص Streamer::isURLAllowed() وقائمة السماح الخاصة بالمشغل. علاوة على ذلك، تقبل نقطة النهاية قيم playlists id و APISecret حيث يتم تمرير APISecret دون التحقق منه مقابل سر مخزن. بعد ذلك، يجلب التطبيق استجابة ثانية لقائمة الفيديو يتحكم فيها المهاجم ويقوم بإدراج videos[].path ضمن أوامر ffprobe و ffmpeg المرسلة إلى exec دون تهريب صحيح لوسائط shell. تقوم الدالة isAudio() باستدعاء isVideo() لتشغيل أمر ffprobe. ومن خلال استخدام محددات shell في المسارات، يمكن للمهاجم تنفيذ أوامر عشوائية، مما قد يؤدي إلى كشف بيانات اعتماد قاعدة البيانات والبث، أو تعديل الملفات، أو إنشاء وصول دائم، أو تعطيل خدمة الترميز.التوصيات
تحديث AVideo إلى الإصدار 8.1.0.
كإجراء مؤقت، قم بتقييد الوصول إلى نقطة النهاية
view/videosListToLive.php لتقليل مخاطر الاستغلال.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾