CVE-2026-86189

WWBN AVideo notify.ffmpeg.json.php faylında yol keçmə (path traversal) zəifliyi var ki, bu, autentifikasiyadan keçməmiş hücumçulara avideoRelativePath parametrində çağıran tərəfindən seçilmiş yol təqdim etməklə ixtiyari yerlərə fayl yazmağa imkan verir. Hücumçular əvvəllər verilmiş istənilən şifrə mətnini notifyCode tokeni kimi təkrar istifadə edə bilərlər; bu token deşifrə olunur, lakin heç vaxt yoxlanılmır ki, bu da autentifikasiyadan yan keçməyə və tətbiqin kök qovluğuna və alt qovluqlarına fayl yazmağa imkan verir.