p PatchFirst

CVE-2026-41064

CVE-2026-41064 · AVideo has an incomplete fix for CVE-2026-33502 (Command Injection)

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

WWBN AVideo is an open source video platform. In versions up to and including 29.0, an incomplete fix for AVideo's `test.php` adds `escapeshellarg` for wget but leaves the `file_get_contents` and `curl` code paths unsanitized, and the URL validation regex `/^http/` accepts strings like `httpevil[.]com`. Commit 78bccae74634ead68aa6528d631c9ec4fd7aa536 contains an updated fix.

CVSS 9.3 · Crítica · EPSS 0,3%

Publicación
Actualización

Pila tecnológica: php

Productos y versiones afectados

  • avideo

    Versiones
    • <= 29.0: Afectada

    Sin corrección publicada

  • wwbn/avideo Packagist

    Versiones
    • 10.4
    • 10.8
    • 11
    • 11.1
    • 11.1.1
    • 11.5
    • 11.6
    • 12.4
    • 14.3
    • 14.3.1
    • 14.4
    • 18.0
    • 21.0
    • 22.0
    • 24.0
    • 25.0
    • 26.0
    • 29.0
    Intervalos de versiones afectados
    • ECOSYSTEM: ≤ 29.0

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →