CVE-2026-34733
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W AVideo w wersji 26.0 i wcześniejszych wykryto podatność w skrypcie install/deleteSystemdPrivate.php. Z powodu błędu pierwszeństwa operatorów w PHP, warunek !php_sapi_name() === 'cli' zawsze zwraca false, co umożliwia zdalny dostęp bez uwierzytelnienia do skryptu, który usuwa pliki z katalogu tymczasowego i ujawnia jego zawartość.
Ocena ryzyka
Atakujący może zdalnie usunąć pliki z katalogu tymczasowego serwera oraz odczytać ich listę, co może prowadzić do zakłócenia działania aplikacji lub wycieku informacji.
Rekomendacja
Należy natychmiast zastosować poprawkę lub usunąć plik install/deleteSystemdPrivate.php, jeśli nie jest niezbędny.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the AVideo installation script install/deleteSystemdPrivate.php contains a PHP operator precedence bug in its CLI-only access guard. The script is intended to run exclusively from the command line, but the guard condition !php_sapi_name() === 'cli' never evaluates to true due to how PHP resolves operator precedence. The ! (logical NOT) operator binds more tightly than === (strict comparison), causing the expression to always evaluate to false, which means the die() statement never executes. As a result, the script is accessible via HTTP without authentication and will delete files from the server's temp directory while also disclosing the temp directory contents in its response. At time of publication, there are no publicly available patches.