CVE-2026-19913

WysokieCVSS 7.5

Opublikowano: 25/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 25/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Odtwarzacz HTML5 Kaltura (mwEmbed / html5lib) zawiera podatność na ujawnienie lokalnych plików z powodu nieprawidłowej walidacji parametru ServiceUrl w mwEmbedLoader.php. Parametr ten jest używany jako bazowy URL dla żądań backendowych i akceptuje nie-HTTP schematy, takie jak file://. Gdy wystąpi wyjątek lub błąd, odpowiedź jest deserializowana, a jej surowa zawartość jest odzwierciedlana w komunikacie błędu, co umożliwia nieuwierzytelnionemu zdalnemu atakującemu odczyt dowolnego wewnętrznego pliku dostępnego dla serwera.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych plików wewnętrznych, takich jak konfiguracje, hasła lub dane użytkowników, co może prowadzić do naruszenia bezpieczeństwa danych.

Rekomendacja

Zaktualizuj html5lib do wersji, która zawiera poprawkę walidacji parametru ServiceUrl. Jeśli nie jest to możliwe, ogranicz dostęp do mwEmbedLoader.php i zastosuj reguły WAF blokujące nie-HTTP schematy.

Inne podatności w Kaltura HTML5 player (html5lib)

CVE-2026-19912Nieznane
Odtwarzacz HTML5 Kaltura (mwEmbed / html5lib) zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia, spowodowaną niebezpieczną deserializacją danych i nieoczyszczoną konstrukcją ścieżek plików. mwEmbedLoader.php akceptuje kontrolowany przez użytkownika parametr ServiceUrl, którego odpowiedź jest przekazywana do funkcji unserialize(), a pola wynikowego obiektu są zapisywane w ścieżce cache pochodzącej od podanego przez atakującego uiconf_id bez odpowiedniej walidacji ścieżki. Atakujący może zapisać dowolne pliki w lokalizacjach dostępnych przez sieć i osiągnąć wykonanie kodu jako użytkownik serwera WWW.

Oryginalny opis (angielski, źródło NVD)

The Kaltura HTML5 player (mwEmbed / html5lib) contains a local file disclosure vulnerability due to improper validation of the ServiceUrl parameter in mwEmbedLoader.php. This parameter is used as the base URL for a backend request and accepts non‑HTTP schemes such as file://. When an exception or error occurs, the response is subsequently deserialized and its raw contents are reflected to the client in an error message; this enables an unauthenticated, remote attacker to read any arbitrary internal file reachable by the server. Affected versions include html5lib v2.45, v2.103 and earlier, and other v2.x releases exposing the vulnerable endpoint.