Anddone

**Nome do Software Vulnerável e Versões Afetadas** html5lib versões 2.x e anteriores **Descrição** O reprodutor Kaltura HTML5 (mwEmbed / html5lib) contém um problema de execução remota de código não autenticada resultante de desserialização de dados insegura e construção de caminho de sistema de arquivos não sanitizada. O endpoint 'mwEmbedLoader.php' aceita um parâmetro `ServiceUrl` controlado pelo usuário, cuja resposta é processada pela função `unserialize()`. Subsequentemente, os campos do objeto resultante são gravados em um caminho de cache derivado da variável `uiconf id` fornecida pelo invasor sem a devida validação de caminho. Isso permite que um invasor grave arquivos arbitrários em locais acessíveis via web e execute código com os privilégios do usuário do servidor web. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.