CVE-2026-33024
CriticalSummary
AVideo to platforma do udostępniania wideo. W wersjach przed 8.0 występuje podatność typu Server-Side Request Forgery (CWE-918) w publicznych punktach końcowych thumbnail, getImage.php i getImageMP4.php, które akceptują parametr GET base64Url i przekazują go do ffmpeg bez wymogu uwierzytelnienia.
Risk Assessment
Atakujący może wykorzystać tę podatność do uzyskania dostępu do zasobów wewnętrznych sieci, co może prowadzić do ujawnienia wrażliwych informacji. Ryzyko to jest szczególnie istotne w środowiskach chmurowych i lokalnych, gdzie dostęp do metadanych instancji może być niebezpieczny.
Recommendation
Zaleca się aktualizację do wersji 8.0 lub nowszej, aby usunąć tę podatność. Dodatkowo warto wprowadzić dodatkowe mechanizmy walidacji URL oraz uwierzytelnienia dla punktów końcowych.
Original NVD description (English source)
AVideo is a video-sharing Platform. Versions prior to 8.0 contain a Server-Side Request Forgery vulnerability (CWE-918) in the public thumbnail endpoints getImage.php and getImageMP4.php. Both endpoints accept a base64Url GET parameter, base64-decode it, and pass the resulting URL to ffmpeg as an input source without any authentication requirement. The prior validation only checked that the URL was syntactically valid (FILTER_VALIDATE_URL) and started with http(s)://. This is insufficient: an attacker can supply URLs such as http://169.254.169.254/latest/meta-data/ (AWS/cloud instance metadata), http://192.168.x.x/, or http://127.0.0.1/ to make the server reach internal network resources. The response is not directly returned (blind), but timing differences and error logs can be used to infer results. The issue has been fixed in version 8.0.