PT-2026-30988 · Wwbn · Avideo

Threalwinky · Publicado 2026-04-07 · Atualizado 2026-04-08 · CVE-2026-39369

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L

Name of the Vulnerable Software and Affected Versions WWBN AVideo versões 26.0 e anteriores

Description WWBN AVideo, uma plataforma de vídeo de código aberto, apresenta uma falha no arquivo aVideoEncoderReceiveImage.json.php. Um uploader autenticado pode buscar URLs controlados por um invasor, ignorando a limpeza de travessia e expondo arquivos locais do servidor por meio do caminho de armazenamento do pôster GIF. Isso permite ler arquivos locais, como /etc/passwd ou arquivos de código-fonte da aplicação, e republicar seu conteúdo por meio de uma URL de mídia GIF pública.

Recommendations Atualize para uma versão do WWBN AVideo posterior à 26.0.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-39369

GHSA-F4F9-627C-JH33

Produtos afetados

Avideo

Referências · 8

• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/2375eb5e0a6d3cbcfb05377657d0820a7d470b1d · Correção
• https://github.com/WWBN/AVideo/security/advisories/GHSA-f4f9-627c-jh33 · Nota
• https://reddit.com/r/VulnMatter/comments/1sft88v/resumen_diario_de_vulnerabilidades_08042026 · Publicação no Reddit
• https://osv.dev/vulnerability/GHSA-f4f9-627c-jh33 · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2041714116012687790 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2041711907837792411 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39369 · Nota de Segurança