CVE-2026-61572

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 8.1.0

Descrição Um invasor remoto não autenticado pode ler respostas HTTP e HTTPS internas, incluindo credenciais de metadados de instâncias de nuvem, e acessar serviços TCP internos. O problema ocorre porque a função url get contents em objects/functions.php aceita destinos controlados pelo chamador após apenas validação de sintaxe, sem rejeitar endereços privados, de loopback ou link-local, e desativa a verificação de pares TLS. O endpoint não autenticado 'objects/login.json.php' retorna um objeto de sessão contendo o corpo bruto recuperado, permitindo a exfiltração completa da resposta através de um siteURL fornecido. Além disso, uma variante de pré-autenticação em 'view/youtubeDl.json.php' roteia um videoURL ftp para o FTPDownloader, onde a função parseFtpUrl em objects/FTPDownloader.php aceita o host e a porta para ftp connect, permitindo requisições a serviços FTP internos. Certificados HTTPS autoassinados não confiáveis também são aceitos.

Recomendações Atualize para uma versão posterior à 8.1.0 para resolver os problemas de rede interna e TLS, pois a versão 8.1.0 forneceu apenas uma remediação parcial.