CVE-2023-30854highCWE-78

CVE-2023-30854: fallo de gravedad alta en WWBN AVideo

WWBN AVideo vulnerable to OS Command Injection

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear AVideo+ Monitorear wwbn/avideo

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.8epss 5.2%
En resumen

AVideo, una plataforma de vídeos, tiene una falla donde usuarios autenticados pueden ejecutar comandos maliciosos en el servidor a través de una funcionalidad específica. Esto permite que atacantes tomen control total del sistema afectado.

Detalle técnico

Existe una vulnerabilidad de Inyección de Comando OS en el endpoint `/plugin/CloneSite/cloneClient.json.php` que permite a usuarios autenticados inyectar y ejecutar comandos arbitrarios del sistema operativo con privilegios del servidor. La vulnerabilidad posibilita Ejecución Remota de Código (RCE) siendo la autenticación la única precondición requerida. Corregido en versión 12.4.

Resumen generado y traducido por IA a partir de la descripción oficial.
AVideo is an open source video platform. Prior to version 12.4, an OS Command Injection vulnerability in an authenticated endpoint `/plugin/CloneSite/cloneClient.json.php` allows attackers to achieve Remote Code Execution. This issue is fixed in version 12.4.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
WWBN · AVideo
CVEs relacionadas — WWBN AVideo

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-30690CRITICALCVE-2022-30690EPSS 83.9%CVE-2022-30534CRITICALCVE-2022-30534EPSS 75.0%CVE-2022-30547CRITICALCVE-2022-30547EPSS 63.7%CVE-2022-32572CRITICALCVE-2022-32572EPSS 24.1%CVE-2026-33478CRITICALAVideo Multi-Chain Attack: Unauthenticated Remote Code Execution via Clone Key Disclosure, Database Dump, and Command InjectionEPSS 13.3%CVE-2023-32073HIGHAVideo command injection vulnerabilityEPSS 6.5%