PT-2026-34216 · Avideo · Avideo

Publicado 2026-04-14 · Atualizado 2026-04-25 · CVE-2026-41064

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.3

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

Name of the Vulnerable Software and Affected Versions AVideo versões anteriores a 29.1

Description Uma correção incompleta no arquivo 'test.php' permite a entrada de dados não sanitizados. Embora o caminho do wget tenha sido protegido usando escapeshellarg, os caminhos de código file get contents e curl permanecem não sanitizados. Além disso, a expressão regular de validação de URL /^http/ é insuficiente, pois aceita strings como 'httpevil[.]com'.

Recommendations Atualize para uma versão que inclua o commit 78bccae74634ead68aa6528d631c9ec4fd7aa536.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-41064

GHSA-PQ8P-WC4F-VG7J

Produtos afetados

Avideo

Referências · 12

• 🔥 https://github.com/WWBN/AVideo/security/advisories/GHSA-3fpm-8rjr-v5mc · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/78bccae74634ead68aa6528d631c9ec4fd7aa536 · Correção
• https://github.com/WWBN/AVideo/commit/1e6cf03e93b5a5318204b010ea28440b0d9a5ab3 · Correção
• https://github.com/WWBN/AVideo/security/advisories/GHSA-pq8p-wc4f-vg7j · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2046832997303726560 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41064 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-33502 · Nota de Segurança
• https://twitter.com/0dayPublishing/status/2046731918100533352 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2048169360720568499 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-pq8p-wc4f-vg7j · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2048168409775644908 · Publicação no Twitter