CVE-2026-33692

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 29.0

Descrição O AVideo expõe arquivos .env sensíveis a usuários não autenticados quando implantado usando a configuração oficial do Docker compose. O arquivo docker-compose.yml monta todo o diretório raiz do projeto como a raiz de documentos do Apache, permitindo que o arquivo .env seja servido como um arquivo estático no endpoint /.env. Este arquivo contém informações críticas, incluindo credenciais de banco de dados, senhas de administrador e configurações de infraestrutura. A ausência de regras .htaccess ou configurações do Apache para bloquear o acesso a dotfiles permite que invasores remotos obtenham as variáveis DB MYSQL USER, DB MYSQL PASSWORD, SYSTEM ADMIN PASSWORD e NETWORK SUBNET. Isso pode levar ao acesso direto ao banco de dados, à tomada de controle do painel de administração e à movimentação lateral dentro da rede Docker.

Recomendações Atualize para a versão 29.0. Como medida de mitigação temporária, adicione uma regra .htaccess para bloquear o acesso a dotfiles ou configure o Apache para negar o acesso a dotfiles na configuração do host virtual.