CVE-2026-33354

WWBN AVideo açık kaynaklı bir video platformudur. 26.0 dahil önceki sürümlerde, `POST /objects/aVideoEncoder.json.php` uç noktası, aşamalı yükleme parçaları için tasarlanmış ve istekçi tarafından kontrol edilen bir `chunkFile` parametresini kabul etmektedir. Bu yolun güvenilir sunucu tarafından oluşturulan parça konumlarıyla sınırlandırılması yerine, uç nokta `isValidURLOrPath()` fonksiyonundan geçen rastgele yerel dosya sistemi yollarını kabul etmektedir. Söz konusu yardımcı fonksiyon; `/var/www/`, uygulama kök dizini, önbellek, tmp ve `videos` dahil olmak üzere geniş sunucu dizinleri altındaki dosyalara izin vermekte, yalnızca `.php` dosyalarını reddetmektedir. Kendi videosunu düzenleyen kimliği doğrulanmış bir yükleyici için bu durum, rastgele yerel dosya okumaya dönüşmektedir. Uç nokta, saldırgan tarafından seçilen yerel dosyayı saldırganın genel video depolama yoluna kopyalamakta ve ardından bu dosya HTTP üzerinden indirilebilmektedir. 59bbd601a3f65a5b18c1d9e4eb11471c0a59214f commit'i sorun için bir yama içermektedir.