CVE-2026-61567

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 8.1.0

Descrição Um invasor remoto não autenticado pode executar comandos do sistema operacional como o usuário do servidor web. O problema reside no endpoint de streaming ao vivo view/videosListToLive.php, que aceita um streamer definido pelo invasor no parâmetro webSiteRootURL. O sistema chama a função Login::run() em objects/Login.php e confia no JSON retornado como estado da sessão, permitindo que um invasor conceda a si mesmo privilégios de isLogged e canStream sem credenciais legítimas. Este processo ignora a verificação Streamer::isURLAllowed() e a lista de permissões de streamers do operador. Além disso, o endpoint aceita os valores playlists id e APISecret, onde o APISecret é encaminhado sem ser verificado em relação a um segredo armazenado. A aplicação então busca uma segunda resposta de lista de vídeos controlada pelo invasor e interpola videos[].path em comandos ffprobe e ffmpeg passados para exec sem a devida filtragem de argumentos de shell. A função isAudio() chama isVideo() para acionar o comando ffprobe. Ao utilizar delimitadores de shell nos caminhos, um invasor pode executar comandos arbitrários, potencialmente expondo credenciais do banco de dados e de streamers, modificando arquivos, estabelecendo persistência ou causando a negação de serviço do codificador.

Recomendações Atualize o AVideo para a versão 8.1.0. Como medida paliativa temporária, restrinja o acesso ao endpoint view/videosListToLive.php para minimizar o risco de exploração.