CVE-2026-45578
CVE-2026-45578 · WWBN AVideo Live: OS command injection in on_publish.php execAsync via unescaped m3u8 URL
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
WWBN AVideo is an open source video platform. In 29.0 and earlier, there is a classic shell-metacharacter injection. The YPTSocket notification branch in plugin/Live/on_publish.php builds an execAsync() command line by string concatenation, single-quoting each argument but never calling escapeshellarg(). A ' in any of the three interpolated values ($users_id, $m3u8, $obj->liveTransmitionHistory_id) closes the quoted token and lets the attacker append arbitrary commands.
CVSS 8.8 · Высокий · EPSS 0,3%
- Опубликовано
- Обновлено
Стек: php
Затронутые продукты и версии
avideo
- Версии
- <= 29.0: Затронуто
Нет опубликованного исправления
wwbn/avideo Packagist
- Затронутые диапазоны версий
- ECOSYSTEM: ≤ 29.0
Нет опубликованного исправления