PT-2026-61743 · Avideo · Avideo

CVE-2026-64626 · Publicado 2026-07-20 · Atualizado 2026-07-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas AVideo versões 0dbadbca through latest master

Description Um invasor autenticado pode realizar ataques de Server-Side Request Forgery (SSRF) cego ao explorar o fluxo de download por URL do codificador. O problema ocorre porque um fallback de tentativa não fixado (unpinned retry fallback) ignora a validação de fixação de DNS (DNS pinning). Ao fornecer um downloadURL que redireciona para um endereço interno, o invasor pode forçar o sistema a seguir o redirecionamento e atingir alvos internos.

Recommendations Atualize o AVideo para uma versão onde a validação de fixação de DNS seja corretamente aplicada durante o fallback de tentativa no fluxo de download por URL do codificador.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-64626

Produtos afetados

Avideo

Referências · 5

• https://github.com/WWBN/AVideo/commit/0dbadbcaaa1b415c7db078a72dc4b26d9fac0485 · Nota
• https://github.com/WWBN/AVideo/security/advisories/GHSA-fr98-mjq9-7jmj · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-64626 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2079427406834606468 · Publicação no Twitter
• https://vulncheck.com/advisories/avideo-encoder-downloadurl-ssrf-via-unpinned-retry-fallback · Nota