Plattform
php
Komponente
wwbn/avideo
Behoben in
26.0.1
26.0.1
CVE-2026-35450 describes an information disclosure vulnerability within the plugin/API/check.ffmpeg.json.php endpoint of wwbn/avideo. This endpoint exposes the FFmpeg remote server configuration status without requiring authentication, allowing attackers to determine connectivity. The vulnerability affects versions of wwbn/avideo up to and including 26.0. A fix is available in version 26.1.
CVE-2026-35450 in AVideo ermöglicht nicht authentifizierten Angreifern, die Konnektivität des FFmpeg-Servers zu überprüfen. Der Endpoint plugin/API/check.ffmpeg.json.php legt Informationen über die FFmpeg-Konfiguration offen, ohne eine Authentifizierung zu erfordern. Obwohl andere FFmpeg-Management-Endpunkte (wie kill.ffmpeg.json.php, list.ffmpeg.json.php und ffmpeg.php) Administratorrechte erfordern, kann das Fehlen einer Authentifizierung bei check.ffmpeg.json.php dazu verwendet werden, Informationen über die Umgebung zu sammeln, was nachfolgende Angriffe erleichtern könnte. Diese Informationen können Softwareversionen, Dateipfade und potenziell die FFmpeg-Konfiguration offenlegen, was ausgenutzt werden könnte, um andere Schwachstellen zu identifizieren oder Denial-of-Service-Angriffe durchzuführen.
Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er einfach eine HTTP-Anfrage an den Endpoint plugin/API/check.ffmpeg.json.php sendet. Die JSON-Antwort zeigt den Konnektivitätsstatus des FFmpeg-Servers an. Obwohl diese Informationen allein keine Remote-Codeausführung ermöglichen, können sie verwendet werden, um Informationen über das System zu sammeln und ausgefeiltere Angriffe zu planen. Die einfache Zugänglichkeit dieser Informationen stellt ein erhebliches Risiko dar, insbesondere in Umgebungen, in denen die Sicherheit von FFmpeg kritisch ist.
Organizations utilizing wwbn/avideo in environments where FFmpeg is used for media processing are at risk. This is particularly relevant for deployments with limited network segmentation or where the web server is exposed to the public internet. Shared hosting environments using wwbn/avideo are also at increased risk due to the potential for cross-tenant access.
• php: Examine web server access logs for requests to plugin/API/check.ffmpeg.json.php originating from unexpected IP addresses.
grep "/plugin/API/check.ffmpeg.json.php" /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr• generic web: Use curl to test the endpoint's accessibility without authentication.
curl http://<your_avideo_server>/plugin/API/check.ffmpeg.json.php• php: Review the plugin/API/ directory for other endpoints lacking authentication checks, particularly those related to system configuration or management.
disclosure
Exploit-Status
EPSS
0.04% (12% Perzentil)
CISA SSVC
CVSS-Vektor
Die primäre Abmilderung für CVE-2026-35450 besteht darin, den Zugriff auf den Endpoint plugin/API/check.ffmpeg.json.php einzuschränken. Dies kann erreicht werden, indem eine Authentifizierungsschicht implementiert wird, die derjenigen ähnelt, die für die anderen FFmpeg-Management-Endpunkte verwendet wird. Es wird dringend empfohlen, den Code so zu ändern, dass der Benutzer Administratorrechte (User::isAdmin()) haben muss, bevor der Zugriff auf diesen Endpoint gewährt wird. Darüber hinaus wird empfohlen, die FFmpeg-Konfiguration zu überprüfen, um sicherzustellen, dass keine unsicheren Einstellungen vorhanden sind, die ausgenutzt werden könnten. Schließlich ist es entscheidend, die AVideo-Software auf die neueste verfügbare Version zu aktualisieren, um bekannte Schwachstellen zu beheben.
Aktualisieren Sie das Plugin AVideo auf Version 26.1 oder höher, um die Vulnerabilität zu entschärfen. Dieses Update behebt das Fehlen der Authentifizierung im Endpoint check.ffmpeg.json.php, wodurch die unautorisierte Offenlegung von (FFmpeg) Serverkonfigurationsinformationen verhindert wird.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
FFmpeg ist ein Multimedia-Framework, das Bibliotheken und Programme zur Handhabung von Video-, Audio- und anderen Multimedia-Formaten enthält.
FFmpeg kann ein Ziel für Angreifer sein, aufgrund seiner umfangreichen Funktionalität und der Möglichkeit, Systembefehle auszuführen. Eine falsche Konfiguration oder Schwachstellen in FFmpeg kann es Angreifern ermöglichen, das System zu kompromittieren.
Wenn Sie Zugriff auf den Server haben, können Sie versuchen, über einen Browser oder ein Tool wie curl auf den Endpoint plugin/API/check.ffmpeg.json.php zuzugreifen. Wenn Sie eine JSON-Antwort ohne Authentifizierung erhalten, ist Ihre Installation anfällig.
Derzeit gibt es keine speziellen Tools zur Erkennung dieser Schwachstelle. Sie können jedoch Web-Vulnerability-Scanner verwenden, um nicht authentifizierte Endpunkte zu identifizieren.
Wenn Sie vermuten, dass Ihr System kompromittiert wurde, sollten Sie es vom Netzwerk isolieren, Passwörter ändern und eine forensische Untersuchung durchführen, um den Umfang des Angriffs zu ermitteln.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.