CVE-2026-61564

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 8.1.0

Descrição Um endpoint de instalação não autenticado install/checkConfiguration.php não escapa parâmetros de requisição, como webSiteRootURL, ao interpolá-los em literais de string PHP entre aspas simples para criar o arquivo videos/configuration.php. Isso permite que um invasor injete código PHP que é executado como o usuário do servidor web quando o arquivo gerado é acessado. Isso é possível se o arquivo videos/configuration.php estiver ausente, o que ocorre em implantações novas ou após a remoção do arquivo. O invasor pode controlar o systemRootPath para gravar arquivos, ler ou sobrescrever arquivos pertencentes ao usuário do servidor web e estabelecer código PHP persistente. Além disso, o endpoint interpola valores de requisição em instruções INSERT de streamer e configuração, resultando em um sumidouro secundário de injeção de SQL.

Recomendações Atualizar para a versão 8.1.0.