CVE-2026-19913

Nome do Software Vulnerável e Versões Afetadas Kaltura HTML5 player (mwEmbed / html5lib) versões 2.x e anteriores

Descrição Um problema de divulgação de arquivos locais existe devido à validação inadequada do parâmetro ServiceUrl no endpoint 'mwEmbedLoader.php'. Este parâmetro, destinado a ser a URL base para requisições de backend, aceita incorretamente esquemas não-HTTP, como file://. Quando ocorre um erro, a resposta é desserializada e seu conteúdo bruto é refletido ao cliente em uma mensagem de erro. Isso permite que um invasor remoto não autenticado leia arquivos internos arbitrários acessíveis pelo servidor. O problema decorre de uma falha de desserialização insegura que também pode levar à execução remota de código.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.