p PatchFirst

CVE-2026-33766

CVE-2026-33766 · AVideo has SSRF Protection Bypass via HTTP Redirect in Image Download Endpoints

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

WWBN AVideo is an open source video platform. In versions up to and including 26.0, `isSSRFSafeURL()` validates URLs against private/reserved IP ranges before fetching, but `url_get_contents()` follows HTTP redirects without re-validating the redirect target. An attacker can bypass SSRF protection by redirecting from a public URL to an internal target. Commit 8b7e9dad359d5fac69e0cbbb370250e0b284bc12 contains a patch.

CVSS 5.3 · Средний · EPSS 0,2%

Опубликовано
Обновлено

Стек: php

Затронутые продукты и версии

  • avideo

    Версии
    • <= 26.0: Затронуто

    Нет опубликованного исправления

  • wwbn/avideo Packagist

    Версии
    • 10.4
    • 10.8
    • 11
    • 11.1
    • 11.1.1
    • 11.5
    • 11.6
    • 12.4
    • 14.3
    • 14.3.1
    • 14.4
    • 18.0
    • 21.0
    • 22.0
    • 24.0
    • 25.0
    • 26.0
    Затронутые диапазоны версий
    • ECOSYSTEM: ≤ 26.0

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →