CVE-2023-30854highCWE-78

CVE-2023-30854: falha de alta gravidade em WWBN AVideo

WWBN AVideo vulnerable to OS Command Injection

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar AVideo+ Monitorar wwbn/avideo

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.8epss 5.2%
Em resumo

O AVideo, uma plataforma de vídeos, possui uma falha em que usuários logados conseguem executar comandos prejudiciais no servidor através de um recurso específico. Isso permite que atacantes assumam controle total do sistema afetado.

Detalhe técnico

Existe uma vulnerabilidade de Injeção de Comando OS no endpoint `/plugin/CloneSite/cloneClient.json.php` que permite a usuários autenticados injetar e executar comandos arbitrários do sistema operacional com privilégios do servidor. A falha possibilita Execução Remota de Código (RCE) com apenas autenticação como pré-condição. Corrigido na versão 12.4.

Resumo gerado e traduzido por IA a partir da descrição oficial.
AVideo is an open source video platform. Prior to version 12.4, an OS Command Injection vulnerability in an authenticated endpoint `/plugin/CloneSite/cloneClient.json.php` allows attackers to achieve Remote Code Execution. This issue is fixed in version 12.4.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
WWBN · AVideo
CVEs relacionadas — WWBN AVideo

No mesmo produto, das mais perigosas para as menos.

CVE-2022-30690CRITICALCVE-2022-30690EPSS 83.9%CVE-2022-30534CRITICALCVE-2022-30534EPSS 75.0%CVE-2022-30547CRITICALCVE-2022-30547EPSS 63.7%CVE-2022-32572CRITICALCVE-2022-32572EPSS 24.1%CVE-2026-33478CRITICALAVideo Multi-Chain Attack: Unauthenticated Remote Code Execution via Clone Key Disclosure, Database Dump, and Command InjectionEPSS 13.3%CVE-2023-32073HIGHAVideo command injection vulnerabilityEPSS 6.5%