CVE-2026-61571

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 8.1.0

Descrição O codificador carece de uma camada de autenticação global, expondo vários endpoints PHP a chamadores de rede anônimos. O endpoint 'view/run.php' invoca a função Encoder::run(). O endpoint 'view/queue.json.php' chama Encoder::getAll(true), revela URLs de streaming via getSiteURL() e aciona o processamento através de execRun(). O endpoint 'view/status.php' retorna um cabeçalho Access-Control-Allow-Origin com curinga, lê a fila, aciona o processamento e expõe estatísticas de memória do host através de ServerMonitor::getMemory() quando serverStatus está ativado. Além disso, o endpoint 'view/listFiles.json.php' permite acesso anônimo quando disableBulkEncode está vazio, utilizando o parâmetro path com realpath() e scandir() sem restrições de diretório base. Isso permite que um invasor não autenticado controle o processador de fila privilegiado, acesse informações da fila e do site de streaming, obtenha estatísticas de memória e enumere nomes e caminhos de arquivos de mídia em diretórios legíveis pelo usuário do servidor web, limitando-se às extensões de mídia configuradas.

Recomendações Atualizar para a versão 8.1.0.