PT-2026-30987 · Avideo · Avideo

Threalwinky · Publicado 2026-04-07 · Atualizado 2026-04-08 · CVE-2026-39368

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions AVideo versões 26.0 e anteriores

Description AVideo é uma plataforma de vídeo de código aberto. As versões 26.0 e anteriores são suscetíveis a um problema de Server-Side Request Forgery (SSRF) dentro do fluxo de retorno de chamada do log de restream ao vivo. Este fluxo aceita um restreamerURL controlado por um invasor e, subsequentemente, busca esta URL no lado do servidor. Isso permite um SSRF armazenado, permitindo que streamers autenticados acionem solicitações para serviços HTTP de loopback ou internos por meio do recurso de log de restream. Um usuário de baixo privilégio com permissão de streaming pode armazenar uma URL de retorno de chamada arbitrária e iniciar solicitações do lado do servidor para recursos internos.

Recommendations Atualize o AVideo para uma versão posterior à 26.0.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-39368

GHSA-Q4X6-6MM2-CRG9

Produtos afetados

Avideo

Referências · 7

• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/security/advisories/GHSA-q4x6-6mm2-crg9 · Nota
• https://reddit.com/r/VulnMatter/comments/1sft88v/resumen_diario_de_vulnerabilidades_08042026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-39368 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-q4x6-6mm2-crg9 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2041711908852813920 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2041714138934546697 · Publicação no Twitter