CVSS 9.0 以上
CVE-2026-61564
要約
AVideo は動画共有プラットフォームで、バージョン 8.1.0 より前では、認証不要のインストーラー用エンドポイント install/checkConfiguration.php が、webSiteRootURL を含むリクエストパラメータをエスケープせずに単一引用符の PHP 文字列リテラルへ埋め込み、videos/configuration.php を生成する。攻撃者は文字列リテラルを終了させて PHP コードを注入でき、生成されたファイルが読み込まれるとウェブサーバーユーザーとして実行される。この問題の悪用には videos/configuration.php が存在しないことが必要で、バージョン 8.1.0 で修正されている。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
AVideoPHPSQL
判定の理由
- CVSS 9.0 以上