p PatchFirst

CVE-2026-41064

CVE-2026-41064 · AVideo has an incomplete fix for CVE-2026-33502 (Command Injection)

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

WWBN AVideo is an open source video platform. In versions up to and including 29.0, an incomplete fix for AVideo's `test.php` adds `escapeshellarg` for wget but leaves the `file_get_contents` and `curl` code paths unsanitized, and the URL validation regex `/^http/` accepts strings like `httpevil[.]com`. Commit 78bccae74634ead68aa6528d631c9ec4fd7aa536 contains an updated fix.

CVSS 9.3 · Kritisch · EPSS 0,3%

Veröffentlicht
Aktualisiert

Technologie-Stack: php

Betroffene Produkte und Versionen

  • avideo

    Softwareversionen
    • <= 29.0: Betroffen

    Keine Korrektur veröffentlicht

  • wwbn/avideo Packagist

    Softwareversionen
    • 10.4
    • 10.8
    • 11
    • 11.1
    • 11.1.1
    • 11.5
    • 11.6
    • 12.4
    • 14.3
    • 14.3.1
    • 14.4
    • 18.0
    • 21.0
    • 22.0
    • 24.0
    • 25.0
    • 26.0
    • 29.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≤ 29.0

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →