PT-2026-51639
CVE-2026-55173
·
تاريخ النشر
2026-06-23
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
WWBN AVideo الإصدار 29.0 والإصدارات الأقدم
الوصف
توجد مشكلة في حقن أوامر نظام التشغيل بسبب إصلاح غير كامل لثغرة أمنية سابقة. تفشل الدالة
sanitizeFFmpegCommand() الموجودة في ملف plugin/API/standAlone/functions.php في تحييد الحرف & الفردي، الذي يعمل كمشغل خلفية للصدفة وفاصل للأوامر. وهذا يسمح للمهاجم الذي يمكنه صياغة حمولة مشفرة صالحة بربط أوامر متعددة وتنفيذ أوامر عشوائية على خادم التشفير المستقل. يتم تشغيل الثغرة الأمنية عندما تقوم نقطة النهاية ffmpeg.json.php بمعالجة المتغير codeToExecEncrypted، الذي يتم تمريره بعد ذلك إلى الدالة execAsync() ويتم تنفيذه عبر sh -c.التوصيات
قم بتحديث WWBN AVideo إلى إصدار أحدث من 29.0.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية
ffmpeg.json.php لتقليل مخاطر الاستغلال إلى أدنى حد. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾