PT-2026-81238
CVE-2026-77138
·
Publicado
2026-08-25
·
Atualizado
2026-09-28
Descrição por
CVSS 4.0
9.3
CríticaMétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas
HTML5 Video Player vs. Powermail (html5videoplayer powermail) (versões afetadas não especificadas)
Descrição
A extensão falha ao processar com segurança entradas não confiáveis de clientes provenientes de um cookie controlado por um invasor, passadas diretamente para a função
unserialize() do PHP. Isso permite que um invasor remoto e não autenticado forneça um payload serializado manipulado para desencadear a Injeção de Objetos PHP, podendo levar à Execução Remota de Código no servidor TYPO3. A Injeção de Objetos PHP é uma vulnerabilidade que ocorre quando entradas não confiáveis são usadas para instanciar objetos, potencialmente permitindo que o invasor manipule a lógica da aplicação.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾