CVE-2026-45578
CVE-2026-45578 · WWBN AVideo Live: OS command injection in on_publish.php execAsync via unescaped m3u8 URL
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
WWBN AVideo is an open source video platform. In 29.0 and earlier, there is a classic shell-metacharacter injection. The YPTSocket notification branch in plugin/Live/on_publish.php builds an execAsync() command line by string concatenation, single-quoting each argument but never calling escapeshellarg(). A ' in any of the three interpolated values ($users_id, $m3u8, $obj->liveTransmitionHistory_id) closes the quoted token and lets the attacker append arbitrary commands.
CVSS 8.8 · Hoch · EPSS 0,3%
- Veröffentlicht
- Aktualisiert
Technologie-Stack: php
Betroffene Produkte und Versionen
avideo
- Softwareversionen
- <= 29.0: Betroffen
Keine Korrektur veröffentlicht
wwbn/avideo Packagist
- Betroffene Versionsbereiche
- ECOSYSTEM: ≤ 29.0
Keine Korrektur veröffentlicht