CVE-2026-61567

要約

AVideo の 8.1.0 より前のバージョンでは、`view/videosListToLive.php` が `webSiteRootURL` で攻撃者が指定したストリーマーを受け付け、`Login::run` が返す JSON をセッション状態として信頼する。認証されていないリモートの攻撃者は、正規の資格情報なしに `isLogged` と `canStream` を自己付与できる。さらに、攻撃者が制御する動画リストの `videos[].path` がシェル引数のエスケープなしで `ffprobe` や `ffmpeg` のコマンドに渡されて `exec` で実行され、任意の OS コマンドをウェブサーバーユーザーとして実行できる。この問題はバージョン 8.1.0 で修正されている。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

AVideoffprobeffmpeg

このタグの新着を RSS で受け取る: AVideo / ffprobe / ffmpeg(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る