CVE-2026-61567 - AVideo-Encoder：未授權者可透過串流登入信任執行任意指令
CVE-2026-61567 - AVideo-Encoder: unauthenticated command execution through streamer login trust
AVideo-Encoder 8.1.0 之前的 live‑streaming 端點允許未授權者透過偽造的 webSiteRootURL 取得執行許可權，並可在不經認證的情況下執行任意 OS 指令。
此漏洞可讓未授權者以執行任意指令，須即時升級至 8.1.0 以防止資料外洩與系統被植入後門並確保直播平臺安全
譯文尚未完整，完整內容請切換至原文。
AVideo 是一個影片分享平臺。8.1.0 之前，直播端點 `view/videosListToLive.php` 會接受攻擊者指定的 `webSiteRootURL` 中的串流者名稱，呼叫 `objects/Login.php` 中的 `Login::run`，並將回傳的 JSON 視為會話狀態。能夠讓編碼器存取的 HTTP 服務的未經認證遠端攻擊者可以自行授予 `isLogged` 與 `canStream`，而不需合法憑證。該端點只要求非空的 `playlists_id` 與 `APISecret`；`APISecret` 會被轉發而非與儲存的秘密比對。此路徑永不呼叫 `Streamer::isURLAllowed`，因此不論運營者的串流者允許清單為何皆能運作。它會取得第二個由攻擊者控制的影片列表回應，並將 `videos[].path` 直接插入 `ffprobe` 與 `ffmpeg` 命令，傳遞給 `exec`，未做 shell 引數逃逸；`isAudio` 呼叫 `isVideo` 以觸發 `ffprobe`。含有 shell 分隔符的路徑會以 web-server 使用者身分執行任意作業系統指令。請求過濾器不會檢查影片列表 JSON。這可能洩露資料庫及儲存的串流者憑證，使用這些憑證攻擊上游平臺，修改 web-server 使用者擁有的檔案，建立持續性，並中斷編碼器服務。此問題已於 8.1.0 版修復。
影響
受影響產品
以下產品受 CVE-2026-61567 漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，該資訊並未在下表中呈現。
| ID | 供應商 | 產品 | 行動 |
|---|---|---|---|
| 1 | Wwbn | avideo-encoder |
以下為「通用漏洞評分系統」（Common Vulnerability Scoring System），它是一個標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重度 | 向量 | 利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 關鍵 | MITRE-CVE | ||||
| CVSS 3.1 | 關鍵 | [email protected] |
將 AVideo 更新至 8.1.0 或更高版本以修復命令注入與身份驗證繞過漏洞。
- 將 AVideo 更新至 8.1.0 或更高版本。
- 確認串流器允許名單設定。
- 審查並清理外部輸入。
- 及時套用安全修補程式。
在此，您將找到一份精選的外部連結清單，提供有關 CVE-2026-61567 的深入資訊、實用解決方案與寶貴工具。
雖然 CVE 只識別漏洞的具體例項，CWE 則將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-61567 相關於以下 CWEs:
Common Attack Pattern Enumeration and Classification（CAPEC）儲存攻擊模式，這些模式描述了對手為利用 CVE-2026-61567 弱點所採用的常見屬性與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下清單列出已於 GitHub 釋出的公開漏洞與概念驗證（按最近更新時間排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下清單列出在文章中任何位置提及 CVE-2026-61567 漏洞的新聞。
以下表格列出 CVE-2026-61567 漏洞隨時間所作的變更。
漏洞歷史細節對於瞭解漏洞演變以及識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更非常有用。
-
新 CVE 已接收 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 說明 AVideo 是一個影片分享平臺。8.1.0 之前，直播端點 `view/videosListToLive.php` 會接受在 `webSiteRootURL` 中由攻擊者命名的串流者，呼叫 `objects/Login.php` 中的 `Login::run`，並將回傳的 JSON 視為會話狀態。能夠被編碼器存取的 HTTP 服務的未經授權遠端攻擊者可以自行授予 `isLogged` 和 `canStream`，而不需要合法憑證。此端點只需非空的 `playlists_id` 和 `APISecret` 值；`APISecret` 會被轉發，而非與儲存的機密比對。此路徑從未呼叫 `Streamer::isURLAllowed`，因此無論運營商的串流者允許清單為何都能運作。它會抓取第二個由攻擊者控制的影片列表回應，並將 `videos[].path` 以未進行 shell 引數逃逸的方式插值到傳給 `exec` 的 `ffprobe` 與 `ffmpeg` 指令中；`isAudio` 呼叫 `isVideo` 以觸發 `ffprobe` 指令。包含 shell 分隔符的路徑會以網頁伺服器使用者身份執行任意作業系統指令。請求過濾器不會檢查影片列表的 JSON。這可能會洩露資料庫及儲存的串流者憑證，利用這些憑證攻擊上游平臺，修改由網頁伺服器使用者擁有的檔案，建立持久化，並拒絕編碼器服務。此問題已於 8.1.0 版修正。 新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 新增 CWE CWE-78 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/61xxx/CVE-2026-61567.json">CVE-2026-61567</a> 新增 參考 https://github.com/WWBN/AVideo-Encoder/commit/99b8ad9b66fe5726cababbe29dce9d9695131caa 已新增 參考 https://github.com/WWBN/AVideo-Encoder/releases/tag/v8.1.0 已新增 參考 https://github.com/WWBN/AVideo-Encoder/security/advisories/GHSA-rf63-6vwm-wv8p
EPSS 是每日估計在接下來 30 天內觀察到利用活動的機率。 以下圖表顯示此漏洞的 EPSS 分數歷史。