WWBN AVideo possui uma bypass de proteção SSRF em downloadURL de extensões de mídia permitidas e permite a exfiltração de resposta interna (Correção incompleta para CVE-2026-27732)

Um atacante autenticado pode explorar essa vulnerabilidade para realizar exfiltração de dados através de requisições SSRF. Ao injetar URLs maliciosas no processo de upload, o servidor AVideo buscará o conteúdo dessas URLs e o armazenará como mídia. Isso permite que o atacante acesse recursos internos que normalmente não seriam acessíveis externamente, potencialmente expondo informações sensíveis ou comprometendo a integridade do sistema. A exploração bem-sucedida pode levar à divulgação de dados confidenciais e à manipulação de conteúdo na plataforma.

Organizations using AVideo for video hosting and content management are at risk, particularly those with internal services or sensitive data accessible from the AVideo server. Shared hosting environments where multiple users share the same AVideo instance are also at increased risk, as a compromised user account could be used to exploit the vulnerability.

• php: Examine AVideo server access logs for requests to unusual or internal URLs originating from authenticated uploaders.

grep 'downloadURL=[^&]+' /var/log/apache2/access.log | grep 'AVideo'

• php: Check AVideo configuration files for any unusual or overly permissive network settings. • generic web: Monitor AVideo server response headers for unexpected content types or unusual data being served. • generic web: Use a web application firewall (WAF) to block requests containing suspicious URLs or patterns in the downloadURL parameter.

1. 2026-04-07Disclosure

   disclosure

1. Reservado2026-04-06
2. Publicada2026-04-07
3. Modificada2026-04-08
4. EPSS atualizado2026-04-15

A mitigação primária para o CVE-2026-39370 é a atualização para a versão 26.1 do AVideo, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar regras de firewall ou proxy para bloquear requisições para domínios e IPs suspeitos. Além disso, revise e reforce as validações de URL no código da aplicação para evitar a contaminação por entradas maliciosas. Monitore logs de acesso e erro em busca de padrões de requisições anormais que possam indicar uma tentativa de exploração.