ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
AVideo هي منصة مشاركة فيديو. قبل الإصدار 8.1.0 نقطة نهاية برنامج التثبيت دون مصادقة `install/checkConfiguration.php` تقوم بتجميع الملف `videos/configuration.php` عن طريق إقحام بارامترات الطلب بما في ذلك `webSiteRootURL` في سلاسل أحرف PHP المحاطة بعلامات تنصيص فردية دون تهرس. يمكن للمهاجم إنهاء حرفي وحقن شيفرة PHP يتم تنفيذها كمستخدم خادم الويب عند تحميل الملف الناتج القابل للطلب مباشرة. يتطلب الاستغلال أن يكون الملف `videos/configuration.php` غير موجود كما هو الحال في كل نشر جديد أو بعد إزالة الملف أو نقله؛ الملف الموجود يمنع نقطة النهاية هذه. يجب أن يحتوي `systemRootPath` المقدم على index.php ويجب أن ينجح الاتصال باستخدام `databaseHost` و`databaseUser` و`databasePass` ولكن يمكن للمهاجم توجيه هذه البارامترات إلى خادم قاعدة البيانات الخاص به ولا يحتاج إلى بيانات اعتماد الهدف. يتم اشتقاق موقع الكتابة أيضًا من `systemRootPath` بدون تقييد دليل الأساس. يسمح هذا بتنفيذ أوامر عشوائية وقراءة وكتابة فوق الملفات المملوكة لمستخدم خادم الويب وشيفرة PHP دائمة والتحكم في إعدادات الاتصال بقاعدة البيانات المخزنة. تقوم نقطة النهاية بالإضافة إلى ذلك بإقحام قيم الطلب في عبارات INSERT الخاصة بجهاز البث والتكوين مما ينشئ مصدر حقن SQL ثانوي. تم إصلاح هذه المشكلة في الإصدار 8.1.0.