PT-2026-26561
CVE-2026-33024
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-03-20
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AVideo الأقدم من 8.0
الوصف
AVideo هي منصة لمشاركة مقاطع الفيديو. تحتوي الإصدارات الأقدم من 8.0 على ثغرة تتعلق بتزوير الطلبات من جانب الخادم (CWE-918) في نقاط نهاية الصور المصغرة العامة ’'getImage.php‘' و'’getImageMP4.php‘'. تقبل نقاط النهاية هذه معلمة GET من نوع
base64Url، وتقوم بفك تشفيرها، ثم تمرر عنوان URL الناتج إلى ffmpeg كمصدر إدخال دون مصادقة. لم يتجاوز التحقق الأولي من صحة عنوان URL التأكد من صحته من الناحية النحوية وبدايته بـ http(s)://، وهو ما يعتبر غير كافٍ. يمكن للمهاجم تقديم عناوين URL مثل http://169.254.169.254/latest/meta-data/ (بيانات تعريف مثيل AWS/السحابة)، أو http://192.168.x.x/، أو http://127.0.0.1/ لجعل الخادم يصل إلى موارد الشبكة الداخلية. لا يتم إرجاع الاستجابة مباشرةً، ولكن يمكن استخدام الاختلافات في التوقيت وسجلات الأخطاء لاستنتاج النتائج.التوصيات
يجب تحديث الإصدارات الأقدم من 8.0 إلى الإصدار 8.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾