CVE-2026-33513
Publiée le 2026-03-23 · Dernière modification le 2026-06-17
Les plateformes vidéo AVideo (version 26.0 et versions antérieures) sont affectées par une faille dans un point de terminaison d'API spécifique qui permet à un attaquant d'accéder à des fichiers non autorisés sur le serveur. Un attaquant distant non authentifié peut lire des fichiers PHP sensibles ou potentiellement exécuter du code arbitraire s'il parvient à télécharger un fichier malveillant sur le système. Cette attaque est facile à réaliser car elle ne nécessite aucune connexion, aucune interaction de l'utilisateur, et seulement un accès réseau basique au serveur web.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, an unauthenticated API endpoint (`APIName=locale`) concatenates user input into an `include` path with no canonicalization or whitelist. Path traversal is accepted, so arbitrary PHP files under the web root can be included. In our test this yielded confirmed file disclosure and code execution of existing PHP content (e.g., `view/about.php`), and it *can* escalate to RCE if an attacker can place or control a PHP file elsewhere in the tree. As of time of publication, no patched versions are available.