Pubblicato il 2026-08-11 · Fonte: NVD NIST
La vulnerabilità CVE-2026-72748 è una vulnerabilità di scrittura di file arbitraria non autenticata che colpisce il endpoint aVideoEncoderChunk.json.php di aVideo. Questa vulnerabilità consente agli attaccanti di scrivere fino a 4 GB di contenuto arbitrario sul file system del server tramite richieste HTTP PUT senza autenticazione. La CVSS Score di 9.1 indica che si tratta di una vulnerabilità critica. La CWE-306 identifica il tipo di vulnerabilità come 'Authentication Issues'.
Un attaccante può sfruttare questa vulnerabilità per esaurire lo spazio disco del server, causando un denial of service, o per avvelenare la pipeline di encoding dei video. Inoltre, gli attaccanti possono combinare questa vulnerabilità con un'inclusione di file locale per ottenere l'esecuzione di codice remoto. Ciò potrebbe avere gravi conseguenze per la sicurezza del sistema e dei dati.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di applicare patch di sicurezza o di implementare workaround per limitare l'accesso all'endpoint vulnerabile. Inoltre, è importante mantenere il software aggiornato e applicare le migliori pratiche di sicurezza, come il controllo degli accessi e la monitorazione delle attività del server. In assenza di patch specifiche, è possibile limitare l'impatto della vulnerabilità implementando misure di sicurezza generiche, come il rafforzamento dell'autenticazione e dell'autorizzazione.
La vulnerabilità CVE-2026-72748 è una vulnerabilità di scrittura di file arbitraria non autenticata che colpisce il endpoint aVideoEncoderChunk.json.php di aVideo.
La vulnerabilità può causare un denial of service, avvelenare la pipeline di encoding dei video o permettere l'esecuzione di codice remoto.
Per proteggersi, è consigliabile applicare patch di sicurezza, implementare workaround per limitare l'accesso all'endpoint vulnerabile e mantenere il software aggiornato, applicando le migliori pratiche di sicurezza.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.