CVE-2026-61564: RCE critica nell'installer di AVideo

Installer di AVideo vulnerabile a RCE non autenticata: CVSS 10, corretto nella 8.1.0.

AVideo, una piattaforma di condivisione video, presenta nelle versioni precedenti alla 8.1.0 una vulnerabilità critica identificata come CVE-2026-61564. Il problema riguarda l'endpoint non autenticato install/checkConfiguration.php, che costruisce il file videos/configuration.php interpolando parametri della richiesta (incluso webSiteRootURL) in letterali di stringa PHP senza escaping.

Un attaccante può terminare il letterale e iniettare codice PHP eseguito come utente del server web quando il file generato viene richiesto. Serve che videos/configuration.php sia assente (come su ogni installazione nuova); un file esistente blocca l'endpoint. Il CVSS dichiarato è 10,0, critico. Esiste anche un secondo punto di SQL injection nelle INSERT di streamer e configurazione. Nessun exploit pubblico confermato nei dati, ma 6 post social nelle ultime 24 ore citano punteggi elevati: segnale non verificato, non prova di sfruttamento attivo.

Per chi amministra AVideo, la priorità è aggiornare alla versione 8.1.0. Se l'aggiornamento immediato non è possibile, verificare che videos/configuration.php sia già presente, poiché blocca l'endpoint vulnerabile; in alternativa, restringere l'accesso di rete all'installer a fonti fidate. È utile anche controllare i permessi del processo web e revisionare eventuali file PHP scritti di recente, data la possibilità di scrittura arbitraria descritta da NVD.

In sintesi

Cosa: L'endpoint non autenticato install/checkConfiguration.php di AVideo genera il file videos/configuration.php interpolando parametri della richiesta (incluso webSiteRootURL) in stringhe PHP senza escaping, permettendo l'iniezione di codice PHP eseguito come utente del server web.
Gravità: CVSS 10,0 (critica).
Versioni interessate: Tutte le versioni precedenti alla 8.1.0.
Correzione: Risolto nella versione 8.1.0.
Stato: Nessun exploit pubblico su repository confermato nei dati; segnalata forte discussione sui social (6 post nelle ultime 24 ore) che attribuisce punteggi CVSS elevati, ma si tratta di contenuto non verificato e va considerato solo come indicatore di attenzione, non come prova di sfruttamento attivo.
Azione: Aggiornare AVideo alla versione 8.1.0 o superiore; se non è possibile aggiornare subito, assicurarsi che videos/configuration.php esista già (blocca l'endpoint vulnerabile) e restringere l'accesso all'installer dall'esterno.

Fonti: NVD, CVE-2026-61564

← Tutti gli articoli