CVE-2026-41304: Injeção de comando (RCE) no plugin CloneSite do WWBN AVideo
As versões do WWBN AVideo até 29.0 (inclusive) são afetadas por uma falha de injeção de comando no endpoint cloneServer.json.php do plugin CloneSite, em que o parâmetro url é concatenado a um comando wget executado via exec(). O registro descreve a possibilidade de execução remota de código, com pontuação crítica de 9.8 na NVD. Há um commit de correção referenciado, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O WWBN AVideo é uma plataforma de vídeo de código aberto. De acordo com o GitHub Security Advisory, o endpoint cloneServer.json.php do plugin CloneSite monta um comando de shell a partir do parâmetro url sem sanitização adequada, e esse valor é passado a um comando wget executado via exec(). O registro classifica a fraqueza como CWE-77 (Injeção de Comando).
Impacto
- As fontes descrevem o resultado como execução remota de código no servidor.
- A pontuação base na NVD é 9.8 (crítica). A pontuação do CNA do GitHub é 8.9.
- A avaliação da NVD classifica o impacto na confidencialidade, integridade e disponibilidade como alto.
Produtos afetados e versões
- Wwbn Avideo: versões até 29.0 (inclusive), conforme listado no registro.
- O registro não traz mais detalhes sobre produto ou versões.
Status de exploração
- O CVE não está listado no CISA KEV no registro, portanto não há exploração ativa confirmada declarada.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- Os dados SSVC do registro indicam exploração no estágio poc, e a probabilidade EPSS é 0.02693, com percentil de 0.85796.
Correção e mitigação
- Aplique a correção do commit 473c609fc2defdea8b937b00e86ce88eba1f15bb, referenciado no registro.
- Consulte o GitHub Security Advisory para as orientações de mitigação: GHSA-xr6f-h4x7-r6qp.
- Se o plugin CloneSite não for necessário, considere desativá-lo até que a atualização seja aplicada.
Orientações de detecção
- Revise os logs do servidor web em busca de valores incomuns em requisições ao cloneServer.json.php.
- Procure processos filhos inesperados iniciados pela conta do servidor web ou conexões de saída incomuns a partir dele.
- Verifique se o plugin CloneSite está instalado e ativo em instâncias expostas à internet.
Limitações das informações disponíveis
- O registro não informa um número de versão corrigida, apenas um commit de correção.
- O registro não informa se o plugin CloneSite vem ativado por padrão.
- A data EPSS no registro (2026-10-23) é posterior à data de publicação e deve ser verificada na fonte.
- O registro não inclui cronologia de divulgação ao fabricante nem de publicação da correção.
Perguntas frequentes
Quais versões do WWBN AVideo são afetadas pelo CVE-2026-41304?
O registro informa que as versões 29.0 e anteriores são afetadas. Não há número de versão corrigida informado, apenas um commit de correção.
O CVE-2026-41304 está sendo explorado ativamente?
O registro não o lista no CISA KEV, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os dados SSVC do registro indicam o estágio poc.
O que os administradores devem fazer primeiro?
Aplicar a correção do commit referenciado, seguir as orientações de mitigação do GitHub Security Advisory e considerar desativar o plugin CloneSite, se não for necessário, até a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.