WWBN AVideo é uma plataforma de vídeo de código aberto. Em versões 29.0 e abaixo, a função ` isSSRFSafeURL()` em `objets/functions.php` contém um curto-circuito do mesmo domínio (linhas) 4290 - 4296 ) que permite que qualquer URL cujo nome de hospedeiro corresponde a `webSiteRootURL` contorne todas as proteçãos SSRF. Como a verificação compara apenas o nome de hospedeiro e ignora a porta, um atacante pode alcançar portas arbitrárias no servidor AVideo usando o nome de hospedeiro público do site com uma porta não padrão. O corpo de resposta é salvo em um caminho acessível à web, permitindo a exfiltração completa. Commit um 0156 a 6398362086390 d 949190 f 9 d 52 a 823000 ba corrige o problema. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 41060 foi publicado em 2026 - 04 - 21 T 23: 16: 21.250 Z e última modificação em 2026 - 06 - 17 T 10: 46: 06.363 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 6.5, gravidade MEDIUM, vetor CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N, pontuação de exploração 2.8, pontuação de impacto 3.6; CVSS. Classificações de fraqueza associadas: CWE- 918.
Produtos ou plataformas nomeados nos dados de aplicabilidade incluem: wwbn avideo. O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.