CVE-2026-29058criticalexploração observadaCWE-78

CVE-2026-29058: falha crítica em WWBN AVideo-Encoder

AVideo: Unauthenticated OS Command Injection via base64Url in objects/getImage.php

Publicada em · Atualizada em

65Vexday Risk Score

Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.

ssvc Actcvss 9.8epss 6.8%
da publicação à arma0 dias
Publicada no NVD6 de mar.
metasploit5 de mar.
VulnCheck+215d
probabilidade de exploração
6.8%top 6% das CVEs
exploração observada
simVulnCheck
Em resumo

O AVideo permite que qualquer pessoa execute comandos perigosos no servidor sem fazer login. Um atacante pode assumir o controle total do servidor, roubar segredos e derrubá-lo.

Detalhe técnico

Injeção de comando OS não autenticada em objects/getImage.php através do parâmetro GET base64Url permite execução arbitrária de comando shell via substituição de comando. Nenhuma autenticação é necessária; a exploração resulta em comprometimento completo do servidor, roubo de credenciais e interrupção de serviço. Corrigido na versão 7.0.

Resumo gerado e traduzido por IA a partir da descrição oficial.
AVideo is a video-sharing Platform software. Prior to version 7.0, an unauthenticated attacker can execute arbitrary OS commands on the server by injecting shell command substitution into the base64Url GET parameter. This can lead to full server compromise, data exfiltration (e.g., configuration secrets, internal keys, credentials), and service disruption. This issue has been patched in version 7.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
WWBN · AVideo-Encoder
CVEs relacionadas — WWBN AVideo-Encoder

No mesmo produto, das mais perigosas para as menos.

CVE-2026-33024CRITICALAVideo-Encoder has Unauthenticated Blind Server-Side Request Forgery via Public Thumbnail GeneratorEPSS 0.5%CVE-2026-33025HIGHAVideo-Encoder is Vulnerable to Authenticated SQL Injection via ORDER BY ClauseEPSS 0.5%
Referências
https://github.com/WWBN/AVideo-Encoder/security/advisories/GHSA-9j26-99jh-v26q