AVideo-Encoder CVE-2026-61564：未授權安裝程式 PHP 注入漏洞
CVE-2026-61564 - AVideo-Encoder: unauthenticated installer PHP code injection
AVideo-Encoder 發布 CVE-2026-61564，未授權安裝程式允許注入 PHP 程式碼，造成任意命令執行與 SQL 注入。
此漏洞允許未授權攻擊者執行任意 PHP 程式碼，已在 8.1.0 版修復，需即時升級以防止遠端執行與資料庫注入，並建議監控未授權檔案變更以確保系統完整性，此舉可降低被利用造成的風險。
譯文尚未完整，完整內容請切換至原文。
AVideo 是一個影片分享平臺。在 8.1.0 之前，未經身份驗證的安裝端點 `install/checkConfiguration.php` 會將 `videos/configuration.php` 組合起來，透過將請求引數（包括 `webSiteRootURL`）插入單引號 PHP 字串字面值且未做轉義。攻擊者可終止字面值並注入 PHP，當生成的、可直接請求的檔案被載入時，該 PHP 會以網路伺服器使用者身份執行。利用此漏洞需要 `videos/configuration.php` 缺失，例如每次全新部署或檔案被移除或搬移後；已存在的檔案會阻止此端點。所提供的 `systemRootPath` 必須包含 index.php，並且使用 `databaseHost`、`databaseUser`、`databasePass` 的連線必須成功，但攻擊者可將這些引數指向自己的資料庫伺服器，且不需要目標憑證。寫入位置也從 `systemRootPath` 推導，未加上基底目錄限制。這允許任意指令執行、讀寫由網路伺服器使用者擁有的檔案、持久化 PHP 程式碼，以及控制儲存的資料庫連線設定。此端點還會將請求值插入到串流器與設定的 INSERT 語句中，創造第二個 SQL 注入點。此問題已於 8.1.0 版修正。
影響
受影響產品
以下產品受到 CVE-2026-61564
漏洞的影響。
即使 cvefeed.io 知道受影響產品的確切版本，該資訊並未在下表中呈現。
| ID | 供應商 | 產品 | 行動 |
|---|---|---|---|
| 1 | Wwbn | avideo-encoder |
公共漏洞評分系統（Common Vulnerability Scoring System）是一套標準化框架 用於評估軟體與系統漏洞的嚴重性。 我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 關鍵 | MITRE-CVE | ||||
| CVSS 3.1 | 關鍵 | [email protected] |
將 AVideo 更新至 8.1.0 或更高版本，以修復任意命令執行與 SQL 注入漏洞。
- 將 AVideo 更新至 8.1.0 或更高版本。
- 安全部署並配置應用程式。
- 監控未授權的檔案建立或修改。
在此，您將找到一份精選的外部連結清單，提供深入的
資訊、實用解決方案以及相關於
CVE-2026-61564 的寶貴工具。
雖然 CVE 識別特定漏洞例項，CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-61564 與以下 CWEs 相關：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些是對抗者利用 CVE-2026-61564 弱點所採用的常見屬性和方法的描述。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表是一系列已在 GitHub 釋出的公開漏洞與概念驗證（按最近更新時間排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為在文章中提及 CVE-2026-61564 漏洞的新聞。
下表列出 CVE-2026-61564 漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。
-
新 CVE 已接收 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 說明 AVideo 是一個影片分享平臺。在 8.1.0 之前，未經授權的安裝端點 `install/checkConfiguration.php` 會將 `videos/configuration.php` 組裝，透過將請求引數（包括 `webSiteRootURL`）插值到單引號包裹的 PHP 字串文字中，而不做轉義。攻擊者可終止字串並注入 PHP，當生成的、可直接請求的檔案被載入時，該 PHP 會以網頁伺服器使用者身份執行。利用此漏洞需要 `videos/configuration.php` 缺失，像是在每一次全新部署或檔案被移除/移動後；若檔案已存在，該端點會被阻擋。所提供的 `systemRootPath` 必須包含 index.php，且使用 `databaseHost`、`databaseUser` 與 `databasePass` 的連線必須成功，但攻擊者可以將這些引數指向自己的資料庫伺服器，且不需要目標憑證。寫入位置也同樣由 `systemRootPath` 推導，且沒有基底目錄限制。這允許任意命令執行、讀取及覆寫屬於網頁伺服器使用者的檔案、持久化 PHP 程式碼，以及控制儲存的資料庫連線設定。此端點還會將請求值插值到串流器與設定 INSERT 語句中，產生第二個 SQL 注入點。此問題已於 8.1.0 版本修復。 新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 新增 CWE CWE-94 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/61xxx/CVE-2026-61564.json">CVE-2026-61564</a> 新增 參考 https://github.com/WWBN/AVideo-Encoder/commit/0faaddebd11c087885d25a7e0513745465cad411 新增 參考 https://github.com/WWBN/AVideo-Encoder/releases/tag/v8.1.0 新增 參考 https://github.com/WWBN/AVideo-Encoder/security/advisories/GHSA-xrj3-cqm8-r992
EPSS 是每日估計在接下來 30 天內觀測到利用活動的機率。下圖顯示此漏洞的 EPSS 分數歷史。