PT-2026-30989
CVE-2026-39370
·
تاريخ النشر
2026-04-07
·
تاريخ التحديث
2026-04-08
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
AVideo الإصدار 26.0 والإصدارات الأقدم
الوصف
تحتوي منصة الفيديو مفتوحة المصدر AVideo على ثغرة تزوير الطلبات من جانب الخادم (SSRF) في ملف objects/aVideoEncoder.json.php. يمكن للمهاجمين التحكم في المعلمة
downloadURL، باستخدام امتدادات الوسائط أو الأرشيف الشائعة مثل .mp4 و.mp3 و.zip و.jpg و.png و.gif و.webm، لتجاوز التحقق من صحة SSRF. ثم يسترد الخادم الاستجابة ويحفظها كمحتوى وسائط. وهذا يسمح لمُحمِّل معتمد باستخدام مسار التحميل عبر عنوان URL لتسريب البيانات بشكل موثوق عبر SSRF. ويرجع ذلك إلى إصلاح غير كامل لمشكلة تم تحديدها سابقًا.التوصيات
تحديث AVideo إلى إصدار أحدث من 26.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾