p PatchFirst

CVE-2026-41064

CVE-2026-41064 · AVideo has an incomplete fix for CVE-2026-33502 (Command Injection)

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

WWBN AVideo is an open source video platform. In versions up to and including 29.0, an incomplete fix for AVideo's `test.php` adds `escapeshellarg` for wget but leaves the `file_get_contents` and `curl` code paths unsanitized, and the URL validation regex `/^http/` accepts strings like `httpevil[.]com`. Commit 78bccae74634ead68aa6528d631c9ec4fd7aa536 contains an updated fix.

CVSS 9.3 · Критический · EPSS 0,3%

Опубликовано
Обновлено

Стек: php

Затронутые продукты и версии

  • avideo

    Версии
    • <= 29.0: Затронуто

    Нет опубликованного исправления

  • wwbn/avideo Packagist

    Версии
    • 10.4
    • 10.8
    • 11
    • 11.1
    • 11.1.1
    • 11.5
    • 11.6
    • 12.4
    • 14.3
    • 14.3.1
    • 14.4
    • 18.0
    • 21.0
    • 22.0
    • 24.0
    • 25.0
    • 26.0
    • 29.0
    Затронутые диапазоны версий
    • ECOSYSTEM: ≤ 29.0

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →