CVE-2026-19912

Nome do Software Vulnerável e Versões Afetadas html5lib versões 2.x e anteriores

Descrição O reprodutor Kaltura HTML5 (mwEmbed / html5lib) contém um problema de execução remota de código não autenticada resultante de desserialização de dados insegura e construção de caminho de sistema de arquivos não sanitizada. O endpoint 'mwEmbedLoader.php' aceita um parâmetro ServiceUrl controlado pelo usuário, cuja resposta é processada pela função unserialize(). Subsequentemente, os campos do objeto resultante são gravados em um caminho de cache derivado da variável uiconf id fornecida pelo invasor sem a devida validação de caminho. Isso permite que um invasor grave arquivos arbitrários em locais acessíveis via web e execute código com os privilégios do usuário do servidor web.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.