CVE-2026-28502

إصدارات AVideo الأقدم من 24.0

AVideo هي منصة فيديو مفتوحة المصدر. تم تحديد ثغرة أمنية تتعلق بتنفيذ التعليمات البرمجية عن بُعد (RCE) في وظيفة تحميل/استيراد المكونات الإضافية. يمكن لمسؤول معتمد تحميل ملف ZIP مصمم خصيصًا يحتوي على ملفات قابلة للتنفيذ من جانب الخادم. وقد أدى عدم كفاية التحقق من صحة محتوى الملفات المستخرجة إلى السماح باستخراج الملف مباشرةً إلى دليل المكونات الإضافية الذي يمكن الوصول إليه عبر الويب، مما يتيح التنفيذ التعسفي لرمز PHP. تسمح هذه الثغرة باختراق النظام بالكامل، بما في ذلك تأثيرات على السرية والسلامة والتوافر. كان النظام يتحقق فقط من امتداد ZIP لحزم المكونات الإضافية التي تم تحميلها، ولكنه لم يفرض قائمة صارمة من أنواع الملفات المسموح بها داخل الملف. كانت الملفات المستخرجة توضع مباشرةً في دليل يمكن الوصول إليه عبر الويب، دون منع تنفيذ البرامج النصية من جانب الخادم.

قم بالتحديث إلى الإصدار 24.0 أو أحدث من AVideo.

قم بتعطيل وظيفة تحميل/استيراد المكونات الإضافية.

قم بتكوين خادم الويب لمنع تنفيذ ملفات PHP داخل مجلدات تحميل المكونات الإضافية.