PT-2026-34207 · Wwbn · Avideo

CVE-2026-41062 · Publicado 2026-04-08 · Atualizado 2026-04-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions WWBN AVideo versões 29.0 e anteriores

Description Uma falha de traversal de diretório existe onde uma verificação de segurança em 'objects/aVideoEncoderReceiveImage.json.php' valida apenas o componente de caminho da URL para sequências de traversal. No entanto, a função try get contents from local() em 'objects/functionsFile.php' processa a string completa da URL, incluindo a query string, usando explode('/videos/', $url). Isso permite que um invasor ignore a verificação ao colocar um payload de traversal na query string para ler arquivos arbitrários do sistema de arquivos do servidor.

Recommendations Atualizar para uma versão que contenha o commit bd11c16ec894698e54e2cdae25026c61ad1ed441.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-41062

GHSA-F4F9-627C-JH33

GHSA-M63R-M9JH-3VC6

Produtos afetados

Avideo

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41062.json · Exploit
• 🔥 https://github.com/WWBN/AVideo/security/advisories/GHSA-m63r-m9jh-3vc6 · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/2375eb5e0a6d3cbcfb05377657d0820a7d470b1d · Correção
• https://github.com/WWBN/AVideo/commit/bd11c16ec894698e54e2cdae25026c61ad1ed441 · Correção
• https://github.com/WWBN/AVideo/security/advisories/GHSA-f4f9-627c-jh33 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39369 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2048169377392918668 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2046861153100329357 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41062 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-41062 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f4f9-627c-jh33 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-m63r-m9jh-3vc6 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2048168411730248026 · Publicação no Twitter