Plataforma
php
Componente
wwbn/avideo
Corrigido em
24.0.1
21.0.1
Uma vulnerabilidade de SQL Injection não autenticada foi descoberta no componente AVideo, especificamente nos arquivos objects/videos.json.php e objects/video.php. A falha na sanitização adequada do parâmetro 'catName' em requisições POST formatadas em JSON permite que um atacante execute consultas SQL arbitrárias. A vulnerabilidade afeta versões do AVideo anteriores ou iguais a 21.0.0 e foi corrigida na versão 24.0.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante não autenticado execute comandos SQL arbitrários no banco de dados subjacente. Isso pode levar à exfiltração completa do banco de dados, expondo informações confidenciais, incluindo nomes de usuário de administradores. O atacante pode, efetivamente, ler, modificar ou até mesmo excluir dados no banco de dados, comprometendo a integridade e a confidencialidade do sistema. A ausência de autenticação necessária para explorar a vulnerabilidade aumenta significativamente o seu impacto, tornando-a um risco crítico para sistemas expostos à internet.
Esta vulnerabilidade foi divulgada em 2026-03-02. Não há informações disponíveis sobre exploração ativa ou a inclusão desta CVE no KEV. A pontuação CVSS de 9.8 indica um risco crítico, e a ausência de autenticação necessária para a exploração aumenta a probabilidade de ataques. A existência de uma vulnerabilidade de SQL Injection não autenticada é um padrão comum em aplicações web e pode ser explorada por uma ampla gama de atacantes.
Organizations utilizing AVideo versions prior to 24.0, particularly those with publicly accessible instances or those handling sensitive user data, are at significant risk. Shared hosting environments where multiple users share the same AVideo installation are also particularly vulnerable, as a compromise of one user's account could potentially lead to database access for all users.
• php / web:
curl -X POST -d '{"catName: "'$(python3 -c 'print("'; DROP TABLE users;--")')'"}' http://your-avideo-server/objects/videos.json.php• generic web:
grep -i "DROP TABLE" /var/log/apache2/access.log• generic web:
grep -i "SELECT * FROM" /var/log/apache2/error.logdisclosure
Status do Exploit
EPSS
0.04% (percentil 10%)
CISA SSVC
Vetor CVSS
A mitigação primária é atualizar o AVideo para a versão 24.0 ou superior, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, implemente validação rigorosa de entrada JSON, garantindo que o parâmetro 'catName' seja devidamente sanitizado antes de ser usado em consultas SQL. Considere a implementação de um Web Application Firewall (WAF) com regras para detectar e bloquear tentativas de injeção SQL. Monitore os logs de acesso e erro em busca de padrões suspeitos, como consultas SQL incomuns ou erros relacionados à injeção SQL.
Atualize AVideo para a versão 24.0 ou superior. Esta versão corrige a vulnerabilidade de injeção SQL não autenticada. A atualização pode ser realizada através do painel de administração ou baixando a última versão do software.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-28501 describes a critical SQL Injection vulnerability in AVideo versions prior to 24.0, allowing unauthenticated attackers to execute arbitrary SQL queries and potentially steal the entire database.
You are affected if you are running AVideo versions equal to or less than 21.0.0. Immediately assess your environment and upgrade to version 24.0 or later.
The recommended fix is to upgrade AVideo to version 24.0 or later. As a temporary workaround, implement strict input validation and consider using a WAF.
While no confirmed active exploitation has been publicly reported, the vulnerability's ease of exploitation suggests it could be targeted. Proactive remediation is strongly advised.
Refer to the official AVideo security advisory for detailed information and updates regarding CVE-2026-28501. (Note: Specific advisory URL not provided in input data.)
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.