CVE-2026-61564
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 10
- EPSS
- 0.5%
- CWE
- CWE-94
- KEV Durumu
- Hayır
Yayım tarihi: 28 Ekim 2026
AVideo, bir video-paylaşım platformudur. 8.1.0 sürümünden önce, kimlik doğrulaması yapılmayan kurucu uç noktası `install/checkConfiguration.php`, `webSiteRootURL` dahil olmak üzere istek parametrelerini tek tırnaklı PHP dize literallerine ekleyerek `videos/configuration.php` oluşturur, ancak kaçış sağlamaz. Bir saldırgan, üretilen ve doğrudan istenebilen dosyayı yüklediğinde, dize literallerini sonlandırabilir ve web sunucusu kullanıcısı olarak çalışan PHP kodu enjekte edebilir. İstismar, `videos/configuration.php` dosyasının отсутств olması gerektirir, bu durum her yeni dağıtımda veya dosya kaldırılıp taşın после xảyabilir; mevcut bir dosya bu uç noktayı engeller. Sağlanan `systemRootPath`, `index.php` içermeli ve `databaseHost`, `databaseUser` ve `databasePass` kullanarak bir bağlantı kurulmalıdır, ancak saldırgan bu parametreleri kendi veritabanı sunucusuna yönlendirebilir ve hedef kimlik bilgileri gerektirmez. Yazma konumu da temel dizin kısıtlaması olmadan `systemRootPath` den türetilir. Bu, keyfi komut yürütme, web sunucusu kullanıcısına ait dosyaların okunması ve üzerine yazılması, kalıcı PHP kodu ve depolanan veritabanı bağlantı ayarları üzerinde kontrol sağlar. Uç nokta ayrıca istek değerlerini akışçı ve yapılandırma INSERT ifadelerine ekler, bu da ikincil bir SQL enjeksiyon kaynağı oluşturur. Bu sorun 8.1.0 sürümünde çözülmüştür.
Orijinal açıklama (İngilizce)
AVideo is a video-sharing Platform. Prior to 8.1.0, the unauthenticated installer endpoint `install/checkConfiguration.php` assembles `videos/configuration.php` by interpolating request parameters, including `webSiteRootURL`, into single-quoted PHP string literals without escaping. An attacker can terminate a literal and inject PHP that executes as the web-server user when the generated, directly requestable file is loaded. Exploitation requires `videos/configuration.php` to be absent, as on every fresh deployment or after the file is removed or moved; an existing file blocks this endpoint. The supplied `systemRootPath` must contain index.php and a connection using `databaseHost`, `databaseUser`, and `databasePass` must succeed, but the attacker can point those parameters to their own database server and needs no target credentials. The write location is also derived from `systemRootPath` without a base-directory constraint. This permits arbitrary command execution, reading and overwriting files owned by the web-server user, persistent PHP code, and control over stored database connection settings. The endpoint additionally interpolates request values into streamer and configuration INSERT statements, creating a secondary SQL-injection sink. This issue is fixed in version 8.1.0.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.