PT-2026-60462
CVE-2026-63304
·
تاريخ النشر
2026-07-16
·
تاريخ التحديث
2026-07-20
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AVideo الأقدم من 29.1
الوصف
توجد ثغرة تتعلق بحقن أوامر نظام التشغيل في الملف
plugin/API/standAlone/functions.php. تقوم الدالة listFFmpegProcesses() بإدراج معلمات كلمات رئيسية غير مُعقمة داخل علامات اقتباس مفردة دون استخدام أحرف الهروب المناسبة. يمكن للمهاجم تزويد حمولة codeToExec مشفرة ومصممة خصيصًا للخروج من سياق grep المحاط بعلامات الاقتباس المفردة، مما يسمح بتنفيذ أوامر عشوائية لنظام التشغيل بامتيازات مستخدم خادم الويب.التوصيات
تحديث AVideo إلى إصدار أحدث من 29.0.
كإجراء تخفيفي مؤقت، تقييد الوصول إلى الدالة
listFFmpegProcesses().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾