Oryamdeune

**Nome do Software Vulnerável e Versões Afetadas** AVideo versões 29.0 e anteriores **Descrição** O plugin CloneSite contém uma falha de injeção de comando de SO armazenada. O problema ocorre em `plugin/CloneSite/cloneClient.json.php`, onde uma senha SSH armazenada é inserida em uma string de comando usando `str replace` sem a devida filtragem. Uma aspa simples na senha permite que um invasor interrompa a string delimitada e execute comandos de shell arbitrários. A senha maliciosa e uma `cloneSiteURL` são gravadas através do endpoint exclusivo para administradores 'objects/pluginAddDataObject.json.php'. As defesas contra Cross-Site Request Forgery (CSRF) em `isUntrustedRequest()` e `forbidIfIsUntrustedRequest()` podem ser ignoradas se a requisição parecer ser de loopback, como ocorre ao usar um proxy reverso de terminação TLS no mesmo host com `$global['trustedProxies']` não configurado, ou se uma aplicação controlada por um invasor estiver co-hospedada no mesmo hostname. Além disso, cookies de sessão em HTTPS são emitidos com `SameSite=None`, facilitando requisições POST cross-site. Um invasor remoto não autenticado pode enganar um administrador autenticado para salvar esses valores maliciosos, que são então executados pelo crontab do sistema como o proprietário do crontab, geralmente root ou www-data. **Recomendações** Como medida paliativa temporária, desative o plugin CloneSite ou remova a entrada de crontab associada para evitar a execução de comandos injetados. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.