CVE-2026-55173

Nome do Software Vulnerável e Versões Afetadas WWBN AVideo versões 29.0 e anteriores

Descrição Um problema de injeção de comando de SO existe devido a uma correção incompleta de uma vulnerabilidade anterior. A função sanitizeFFmpegCommand() em plugin/API/standAlone/functions.php não neutraliza o caractere & simples, que atua como um operador de segundo plano do shell e separador de comandos. Isso permite que um invasor que consiga criar um payload criptografado válido encadeie múltiplos comandos e execute comandos arbitrários no servidor de codificação independente. A vulnerabilidade é acionada quando o endpoint ffmpeg.json.php processa a variável codeToExecEncrypted, que é então passada para a função execAsync() e executada via sh -c.

Recomendações Atualize o WWBN AVideo para uma versão posterior à 29.0. Como mitigação temporária, restrinja o acesso ao endpoint ffmpeg.json.php para minimizar o risco de exploração.