CVE-2026-88623

Nome do Software Vulnerável e Versões Afetadas NUUO Network Video Recorder versão 2.0.0

Descrição Um problema de leitura arbitrária de arquivos existe no endpoint 'up.php'. A aplicação recebe o parâmetro url via requisição POST e utiliza a função fopen() para abrir a URL especificada em modo de leitura binária. O conteúdo recuperado é posteriormente gravado no diretório /tmp/, utilizando um nome de arquivo derivado do basename() da URL. Esta operação pode ser executada sem autenticação.

Recomendações Atualize o NUUO Network Video Recorder versão 2.0.0 para uma versão mais recente que corrija este problema. Como mitigação temporária, restrinja o acesso ao endpoint 'up.php' ou evite o uso do parâmetro url até que uma correção seja aplicada.