CVE-2026-86189
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.4%
- CWE
- CWE-73
- KEV Durumu
- Hayır
Yayım tarihi: 5 Eylül 2026
WWBN AVideo, notify.ffmpeg.json.php dosyasında bir yol gezinti zafiyeti içerir ve saldırganların avideoRelativePath parametresinde seçilen bir yol sağlamalarına olanak tanır, böylece kimlik doğrulaması yapılmayan saldırganlar rasgele konumlara dosyalar yazabilir. Saldırganlar, daha önce verilen herhangi bir önceki şifreli metni notifyCode tokenı olarak yeniden oynatabilir, bu thusenidikten ancak asla doğrulanmaz, böylece kimlik doğrulamasını atlayabilir ve uygulama kök dizinine ve alt dizinlerine dosyalar yazabilir.
Orijinal açıklama (İngilizce)
WWBN AVideo contains a path traversal vulnerability in notify.ffmpeg.json.php that allows unauthenticated attackers to write files to arbitrary locations by supplying a caller-chosen path in the avideoRelativePath parameter. Attackers can replay any previously issued ciphertext as a notifyCode token, which is decrypted but never validated, to bypass authentication and write files to the application root and subdirectories.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.