AVideo has Authenticated Server-Side Request Forgery via downloadURL in aVideoEncoder.json.php
Vulnerability Type
Authenticated Server-Side Request Forgery (SSRF)
Affected Product/Versions
AVideo versions prior to 22 (tested on AVideo 21.x).
Root Cause Summary
The aVideoEncoder.json.php API endpoint accepts a downloadURL parameter and fetches the referenced resource server-side without proper validation or an allow-list. This allows authenticated users to trigger server-side requests to arbitrary URLs (including internal network endpoints).
Impact Summary
An authenticated attacker can leverage SSRF to interact with internal services and retrieve sensitive data (e.g., internal APIs, metadata services), potentially leading to further compromise depending on the deployment environment.
Resolution/Fix
This issue has been fixed in AVideo version 22. Users should upgrade to version 22.0 as soon as possible.
Credits/Acknowledgement
Thanks to Arkadiusz Marta for responsibly reporting this issue.
- GitHub Profile: https://github.com/arkmarta/
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Composer-Paket | wwbn/avideo | < 22.0 | 22.0 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N- Schwäche (CWE)
CWE-918- Plattform
- Composer
- Paket
wwbn/avideo- Veröffentlicht
- 25.02.2026
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-h39h-7cvg-q7j6 - CC BY 4.0
Schwachstellenhistorie: wwbn/avideo
Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 160
- Erste → letzte
- 04.2022 06.2026
- Ohne Fix
- 143
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 14
- Hoch 61
- Mittel 83
- Niedrig 2
Veröffentlichungen pro Jahr
- 2022: 2
- 2023: 5
- 2024: 5
- 2025: 0
- 2026: 148
-
AVideo has Authenticated Server-Side Request Forgery via downloadURL in aVideoEncoder.json.php dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.