PT-2026-21762
CVE-2026-27732
·
تاريخ النشر
2026-02-24
·
تاريخ التحديث
2026-03-01
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات AVideo الأقدم من 22.0
الوصف
AVideo هي منصة فيديو مفتوحة المصدر. تقبل نقطة نهاية واجهة برمجة التطبيقات (API)
aVideoEncoder.json.php معلمة downloadURL وتقوم بالبحث عن المورد المشار إليه على جانب الخادم دون إجراء التحقق المناسب أو استخدام قائمة السماح (allow-list). وهذا يسمح للمستخدمين المصادق عليهم بتوجيه طلبات من جانب الخادم إلى عناوين URL عشوائية، بما في ذلك نقاط نهاية الشبكة الداخلية، مما يؤدي إلى تزوير الطلبات من جانب الخادم (SSRF). يمكن للمهاجم المصادق عليه استغلال ثغرة SSRF للتفاعل مع الخدمات الداخلية واسترداد البيانات الحساسة، مما قد يؤدي إلى اختراق إضافي. المعلمة المعرضة للخطر هي downloadURL.التوصيات
قم بتحديث AVideo إلى الإصدار 22.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾