CVE-2026-39369
CVE-2026-39369 · WWBN AVideo's GIF poster fetch bypasses traversal scrubbing and exposes local files through public media URLs
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
WWBN AVideo is an open source video platform. In versions 26.0 and prior, objects/aVideoEncoderReceiveImage.json.php allowed an authenticated uploader to fetch attacker-controlled same-origin /videos/... URLs, bypass traversal scrubbing, and expose server-local files through the GIF poster storage path. The vulnerable GIF branch could be abused to read local files such as /etc/passwd or application source files and republish those bytes through a normal public GIF media URL.
CVSS 7.6 · Élevée · EPSS 0,4%
- Publication
- Mise à jour
Pile logicielle: php
Produits et versions concernés
avideo
- Versions du logiciel
- <= 26.0: Concernée
Aucun correctif publié
wwbn/avideo Packagist
- Plages de versions concernées
- ECOSYSTEM: ≤ 26.0
Aucun correctif publié