CVE-2026-19912
Açıklama
Kaltura HTML5 oynatıcısı (mwEmbed / html5lib), güvenli olmayan veri serileştirmesi ve temizlenmemiş dosya sistemi yolu oluşturulmasından kaynaklanan, kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma zafiyeti içermektedir. mwEmbedLoader.php, kullanıcı tarafından kontrol edilen bir ServiceUrl kabul eder; bu URL'den gelen yanıt unserialize() fonksiyonuna iletilir ve ortaya çıkan nesnenin alanları, uygun yol doğrulaması yapılmaksızın saldırgan tarafından sağlanan uiconf_id üzerinden türetilen bir önbellek yoluna yazılır. Bir saldırgan, web üzerinden erişilebilir konumlara rastgele dosyalar yazabilir ve web sunucusu kullanıcısı olarak kod çalıştırabilir. Etkilenen sürümler arasında html5lib v2.45, v2.103 ve daha önceki sürümler ile savunmasız uç noktayı açığa çıkaran diğer v2.x sürümleri yer almaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Kaltura Kaltura HTML5 Video Player, html5 library | v ≤ v2.103, 2.45 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.