CVE-2026-63304

AVideo 29.0 ve öncesi sürümler, plugin/API/standAlone/functions.php dosyasındaki listFFmpegProcesses() fonksiyonunun, temizlenmemiş keyword parametrelerini tek tırnaklar içinde kaçış karakterleri kullanmadan eklemesi nedeniyle bir OS komut enjeksiyonu zafiyeti içermektedir. Geçerli bir şifrelenmiş codeToExec yükü oluşturabilen saldırganlar, tek tırnakla sınırlandırılmış grep bağlamından çıkabilir ve web sunucusu kullanıcısı olarak rastgele OS komutları çalıştırabilir.