CVE-2026-35450: Falta de Autenticação em wwbn/avideo ≤26.0

A ausência de autenticação no endpoint check.ffmpeg.json.php permite que qualquer usuário, mesmo não autenticado, obtenha informações sobre a configuração do servidor FFmpeg remoto. Isso pode revelar detalhes sobre o ambiente de execução, caminhos de arquivos e outras configurações que podem ser exploradas para ataques subsequentes. Embora o endpoint em si não execute código malicioso, a informação obtida pode ser usada para identificar outras vulnerabilidades ou para realizar ataques de engenharia social direcionados aos administradores do sistema. A falta de proteção em um endpoint de gerenciamento, mesmo que aparentemente inofensivo, representa um risco significativo para a segurança geral do sistema.

Organizations utilizing wwbn/avideo in environments where FFmpeg is used for media processing are at risk. This is particularly relevant for deployments with limited network segmentation or where the web server is exposed to the public internet. Shared hosting environments using wwbn/avideo are also at increased risk due to the potential for cross-tenant access.

• php: Examine web server access logs for requests to plugin/API/check.ffmpeg.json.php originating from unexpected IP addresses.

grep "/plugin/API/check.ffmpeg.json.php" /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr

• generic web: Use curl to test the endpoint's accessibility without authentication.

curl http://<your_avideo_server>/plugin/API/check.ffmpeg.json.php

• php: Review the plugin/API/ directory for other endpoints lacking authentication checks, particularly those related to system configuration or management.

1. 2026-04-04Disclosure

   disclosure

1. Reservado2026-04-02
2. Publicada2026-04-04
3. Modificada2026-04-07
4. EPSS atualizado2026-04-14

A mitigação primária para esta vulnerabilidade é a atualização para a versão 26.1 do wwbn/avideo, que corrige a falta de autenticação. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais. Restrinja o acesso ao endpoint check.ffmpeg.json.php através de um firewall ou proxy reverso, permitindo apenas conexões de fontes confiáveis. Implemente regras de WAF (Web Application Firewall) para bloquear solicitações não autorizadas ao endpoint. Monitore os logs de acesso do servidor em busca de tentativas de acesso não autorizado ao endpoint.

Última atualização

29.0recentemente