PT-2026-30988

CVE-2026-39369

Publicado

2026-04-07

Atualizado

2026-04-08

Descrição por

CVSS 3.1

7.6

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L

Name of the Vulnerable Software and Affected Versions WWBN AVideo versões 26.0 e anteriores

Description WWBN AVideo, uma plataforma de vídeo de código aberto, apresenta uma falha no arquivo aVideoEncoderReceiveImage.json.php. Um uploader autenticado pode buscar URLs controlados por um invasor, ignorando a limpeza de travessia e expondo arquivos locais do servidor por meio do caminho de armazenamento do pôster GIF. Isso permite ler arquivos locais, como /etc/passwd ou arquivos de código-fonte da aplicação, e republicar seu conteúdo por meio de uma URL de mídia GIF pública.

Recommendations Atualize para uma versão do WWBN AVideo posterior à 26.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Threalwinky

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')

Identificadores relacionados