CVE-2026-29058criticalexplotación observadaCWE-78

CVE-2026-29058: fallo crítico en WWBN AVideo-Encoder

AVideo: Unauthenticated OS Command Injection via base64Url in objects/getImage.php

Publicada el · Actualizada el

65Vexday Risk Score

Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.

ssvc Actcvss 9.8epss 6.8%
de la publicación al arma0 días
Publicada en NVD6 mar
metasploit5 mar
VulnCheck+215d
probabilidad de explotación
6.8%top 6% de las CVE
explotación observada
síVulnCheck
En resumen

AVideo permite que cualquier persona ejecute comandos peligrosos en el servidor sin iniciar sesión. Un atacante puede tomar control total del servidor, robar secretos y derribarlo.

Detalle técnico

Inyección de comandos del SO sin autenticación en objects/getImage.php a través del parámetro GET base64Url permite ejecución arbitraria de comandos shell mediante sustitución de comandos. No se requiere autenticación; la explotación resulta en compromiso total del servidor, robo de credenciales e interrupción del servicio. Corregido en la versión 7.0.

Resumen generado y traducido por IA a partir de la descripción oficial.
AVideo is a video-sharing Platform software. Prior to version 7.0, an unauthenticated attacker can execute arbitrary OS commands on the server by injecting shell command substitution into the base64Url GET parameter. This can lead to full server compromise, data exfiltration (e.g., configuration secrets, internal keys, credentials), and service disruption. This issue has been patched in version 7.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
WWBN · AVideo-Encoder
CVEs relacionadas — WWBN AVideo-Encoder

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-33024CRITICALAVideo-Encoder has Unauthenticated Blind Server-Side Request Forgery via Public Thumbnail GeneratorEPSS 0.5%CVE-2026-33025HIGHAVideo-Encoder is Vulnerable to Authenticated SQL Injection via ORDER BY ClauseEPSS 0.5%
Referencias
https://github.com/WWBN/AVideo-Encoder/security/advisories/GHSA-9j26-99jh-v26q