Podatności ZLMediaKit
3 znanych podatności CVE w ZLMediaKit, przetłumaczonych i ocenionych.
- CVE-2026-67827Nieznane
Nieprawidłowa kontrola dostępu w module HTTP API w ZLMediaKit (commit 9fd5152) umożliwia zdalne wykonanie kodu (RCE) poprzez nieuwierzytelniony dostęp do punktu API setServerConfig, który pozwala nadpisać parametr ffmpeg.snap dowolnymi poleceniami powłoki. Polecenia są następnie wykonywane przez punkt API getSnap z uprawnieniami procesu ZLMediaKit.
- CVE-2026-81028Średnie
ZLMediaKit ogranicza API downloadFile do skonfigurowanych katalogów głównych, ale porównanie prefiksów nie uwzględnia granic katalogów. Żądana ścieżka jest akceptowana, jeśli zaczyna się od skonfigurowanego katalogu, co pozwala na odczyt plików z katalogów o podobnych nazwach. Wymagany jest sekret API, ale serwer w kontenerze działa jako root.
- CVE-2026-35203Wysokie
ZLMediaKit, framework usług strumieniowych, zawiera podatność na przepełnienie bufora sterty w parserze ładunku RTP VP9 w pliku ext-codec/VP9Rtp.cpp. Brak weryfikacji długości danych przed odczytem może prowadzić do odczytu poza przydzielonym buforem.