CVE-2026-33482highCWE-78

CVE-2026-33482: falha de alta gravidade em WWBN AVideo

AVideo has an OS Command Injection via $() Shell Substitution Bypass in sanitizeFFmpegCommand()

Publicada em

Seguir esta CVE+ Monitorar AVideo+ Monitorar wwbn/avideo

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.1epss 4.3%
Em resumo

A função de limpeza de comandos do AVideo não bloqueia a sintaxe `$()` de substituição de comandos, permitindo que atacantes executem comandos arbitrários no servidor codificador de vídeo através de payloads criptografados malformados.

Detalhe técnico

A função `sanitizeFFmpegCommand()` do AVideo versão 26.0 e anteriores remove caracteres perigosos comuns, mas falha em filtrar a sintaxe `$()` de substituição bash; quando o comando sanitizado é executado via `sh -c` em contexto com aspas duplas, um atacante pode injetar comandos arbitrários através de um payload criptografado válido, contornando as proteções contra injeção de comandos (CWE-78).

Resumo gerado e traduzido por IA a partir da descrição oficial.
WWBN AVideo is an open source video platform. In versions up to and including 26.0, the `sanitizeFFmpegCommand()` function in `plugin/API/standAlone/functions.php` is designed to prevent OS command injection in ffmpeg commands by stripping dangerous shell metacharacters (`&&`, `;`, `|`, `` ` ``, `<`, `>`). However, it fails to strip `$()` (bash command substitution syntax). Since the sanitized command is executed inside a double-quoted `sh -c` context in `execAsync()`, an attacker who can craft a valid encrypted payload can achieve arbitrary command execution on the standalone encoder server. Commit 25c8ab90269e3a01fb4cf205b40a373487f022e1 contains a patch.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
WWBN · AVideo
CVEs relacionadas — WWBN AVideo

No mesmo produto, das mais perigosas para as menos.

CVE-2022-30690CRITICALCVE-2022-30690EPSS 83.9%CVE-2022-30534CRITICALCVE-2022-30534EPSS 75.0%CVE-2022-30547CRITICALCVE-2022-30547EPSS 63.7%CVE-2022-32572CRITICALCVE-2022-32572EPSS 24.1%CVE-2026-33478CRITICALAVideo Multi-Chain Attack: Unauthenticated Remote Code Execution via Clone Key Disclosure, Database Dump, and Command InjectionEPSS 13.3%CVE-2023-32073HIGHAVideo command injection vulnerabilityEPSS 6.5%