CVE-2026-61567: RCE non autenticata in AVideo

RCE non autenticata nell'endpoint di live streaming di AVideo, corretta nella versione 8.1.0.

La CVE-2026-61567 riguarda AVideo, piattaforma di video sharing, e colpisce l'endpoint di live streaming view/videosListToLive.php. Un attaccante remoto non autenticato può farsi passare per uno streamer legittimo sfruttando la fiducia che il sistema attribuisce al JSON restituito da Login::run, ottenendo i flag isLogged e canStream senza credenziali valide.

Secondo NVD, la falla ha CVSS 10,0, la fascia più alta, pubblicata il 28 ottobre 2026. Consente l'esecuzione di comandi di sistema arbitrari perché un percorso video controllato dall'attaccante viene inserito senza escape negli argomenti passati a ffprobe e ffmpeg tramite exec. Non risulta un segnale GitHub di exploit pubblico; si registra attività sui social nelle ultime 24 ore che segnala la CVE come priorità alta, ma sono segnalazioni non verificate, non conferma di sfruttamento attivo.

Le conseguenze descritte nella documentazione ufficiale includono divulgazione di credenziali di database e streamer, compromissione della piattaforma a monte, modifica di file del web server, persistenza e negazione del servizio. Gli amministratori devono aggiornare subito ad AVideo 8.1.0, verificare i log per richieste sospette verso l'endpoint e ruotare le credenziali potenzialmente esposte.

In sintesi

Cosa: L'endpoint view/videosListToLive.php di AVideo accetta un nome streamer controllato dall'attaccante e si fida del JSON restituito da Login::run come stato di sessione, permettendo di autoassegnarsi isLogged e canStream senza credenziali valide. Il percorso non chiama Streamer::isURLAllowed, quindi ignora l'allowlist configurata dall'operatore. Il path di un video viene poi interpolato senza escape negli argomenti di shell passati a ffprobe e ffmpeg tramite exec, consentendo l'esecuzione di comandi di sistema arbitrari come utente del web server.
Gravità: CVSS 10,0 (critica secondo i dati forniti).
Versioni interessate: Tutte le versioni precedenti alla 8.1.0.
Correzione: Risolto nella versione 8.1.0.
Stato: Vulnerabilità pubblicata su NVD il 28 ottobre 2026. Segnale GitHub non presente nei dati. Si registra attività sui social (7 post nelle ultime 24 ore) che citano la CVE come priorità alta, ma si tratta di segnali non verificati, non di conferma di exploit pubblico o sfruttamento attivo.
Azione: Aggiornare immediatamente AVideo alla versione 8.1.0 o successiva. Verificare i log del servizio di streaming per richieste anomale verso l'endpoint videosListToLive.php. Ruotare le credenziali del database e degli streamer potenzialmente esposte.

Fonti: NVD, CVE-2026-61567

← Tutti gli articoli