CVE-2026-19912
Уязвимость удалённого выполнения кода в Kaltura HTML5 player (mwEmbed / html5lib) HTML5-плеер Kaltura (mwEmbed / html5lib) содержит уязвимость...
- Опубликовано
- 25 авг. 2026 г.
- Обновлено
- 1 сент. 2026 г.
- Назначение CNA
- certcc
- Наблюдены доказательства
- 26 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HНизкий · следующие 30 дней
- Процентиль
- 62,2 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
# Уязвимость удалённого выполнения кода в Kaltura HTML5 player (mwEmbed / html5lib) HTML5-плеер Kaltura (mwEmbed / html5lib) содержит уязвимость неаутентифицированного удалённого выполнения кода, вызванную небезопасной десериализацией данных и некорректной проверкой путей к файловой системе. mwEmbedLoader.php принимает управляемый пользователем параметр ServiceUrl, ответ которого передаётся в функцию unserialize(), а поля полученного объекта записываются в путь к кэшу, формируемый на основе задаваемого атакующим параметра uiconf_id без надлежащей проверки пути. Атакующий может записать произвольные файлы в доступные через веб каталоги и добиться выполнения кода от имени пользователя веб-сервера. Затронутые версии включают html5lib v2.45, v2.103 и более ранние, а также другие выпуски v2.x, в которых доступна уязвимая конечная точка.
Источники
Эксплойты proof-of-concept для CVE-2026-19912, CVE-2026-19913 и CVE-2026-19914, демонстрирующие чтение файлов и удалённое выполнение кода в Kaltura, предназначенные для авторизованного тестирования безопасности и обучения.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.