CVE-2026-41304
CVE-2026-41304 · WWBN AVideo vulnerable to RCE caused by clonesite plugin
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
WWBN AVideo is an open source video platform. In versions 29.0 and below, the `cloneServer.json.php` endpoint in the CloneSite plugin constructs shell commands using user-controlled input (`url` parameter) without proper sanitization. The input is directly concatenated into a `wget` command executed via `exec()`, allowing command injection. An attacker can inject arbitrary shell commands by breaking out of the intended URL context using shell metacharacters (e.g., `;`). This leads to Remote Code Execution (RCE) on the server. Commit 473c609fc2defdea8b937b00e86ce88eba1f15bb contains a fix.
CVSS 8.9 · Élevée · EPSS 2,2%
- Publication
- Mise à jour
Pile logicielle: php
Produits et versions concernés
avideo
- Versions du logiciel
- <= 29.0: Concernée
Aucun correctif publié
wwbn/avideo Packagist
- Versions du logiciel
- 10.4
- 10.8
- 11
- 11.1
- 11.1.1
- 11.5
- 11.6
- 12.4
- 14.3
- 14.3.1
- 14.4
- 18.0
- 21.0
- 22.0
- 24.0
- 25.0
- 26.0
- 29.0
- Plages de versions concernées
- ECOSYSTEM: ≤ 29.0
Aucun correctif publié