WWBN AVideo-Encoder: Unauthentifizierte PHP-Code-Injection im Installer
Zusammenfassung
Der nicht authentifizierte Installer-Endpunkt install/checkConfiguration.php von AVideo-Encoder schreibt videos/configuration.php aus Anfrageparametern, ohne diese zu maskieren. Ein Angreifer kann PHP-Code einschleusen, der als Benutzer des Webservers ausgeführt wird, sobald die erzeugte Datei geladen wird. Dadurch sind Kommandoausführung, Dateizugriff und dauerhafter Schadcode möglich. Der Angriff setzt voraus, dass videos/configuration.php nicht existiert, wie bei neuen Installationen, und dass der Angreifer einen eigenen Datenbankserver vom Ziel aus erreichen kann. Der gleiche Endpunkt enthält zusätzlich eine sekundäre SQL-Injection.
Betroffen
- WWBN AVideo-Encoder vor 8.1.0 (CNA-Eintrag: betroffen < 8.1.0)
- Die Quellen unterscheiden sich im genauen Bereich; einige nennen bis 8.0.x. Mit dem Herstellerhinweis abgleichen.
Behoben in
- Version 8.1.0 (in der CVE-Beschreibung und der Herstellerveröffentlichung genannt)
- Die zwischengespeicherte GHSA-Seite nennt keine gepatchte Version. Im Live-Hinweis prüfen.
Umgehung
Unbekannt.
Ausnutzung
- Keine Quelle meldet aktive Ausnutzung.
- Status im CISA KEV: nicht verifiziert (ein Aggregator meldet 'No').
- Laut Quellen gibt es keinen öffentlichen Exploit, der GHSA-Hinweis enthält jedoch Reproduktionsdetails.
Unsere Empfehlung
- Prüfen Sie auf jeder AVideo-Encoder-Instanz, ob videos/configuration.php existiert, und kontrollieren Sie deren Inhalt.
- Aktualisieren Sie auf Version 8.1.0 oder neuer.
- Beschränken Sie den Zugriff auf install/ am Webserver oder Reverse Proxy oder entfernen Sie den Installer nach der Einrichtung.
- Prüfen Sie Instanzen, die im unkonfigurierten Zustand erreichbar waren, auf unerwartete PHP-Dateien und unbekannte Datenbankeinstellungen.
- Prüfen Sie, ob das Hauptprodukt AVideo eingesetzt wird, und kontrollieren Sie dessen Version separat (CVE-2026-33038).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-xrj3-cqm8-r992 github.com
- AVideo-Encoder release v8.1.0 github.com
- AVideo-Encoder fix commit 0faadde github.com
- VulDB entry 428250 vuldb.com
- VulDB CVE-2026-61564 vuldb.com
- OffSeq threat entry CVE-2026-61564 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.