ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
AVideo هي منصة مشاركة فيديو. قبل الإصدار 8.1.0، يفتقر المشفر إلى طبقة مصادقة عامة ويعرض نقاط نهاية PHP للتحكم والحالة لمتصلين مجهولين عبر الشبكة. يحتوي الملف `view/run.php` على حماية معطلة ويستدعي `Encoder::run()`. يستدعي الملف `view/queue.json.php` الدالة `Encoder::getAll(true)`، ويكشف عن روابط البث عبر `getSiteURL()`، ويشغل المعالجة باستخدام `execRun()`. يعود الملف `view/status.php` بترويسة `Access-Control-Allow-Origin` مع علامة بدل، ويقرا قائمة الانتظار، ويشغل المعالجة، ويكشف عن إحصائيات ذاكرة المضيف عبر `ServerMonitor::getMemory()` عند ضبط `serverStatus`. يفحص الملف `view/listFiles.json.php` فقط `Login::canBulkEncode()`، مما يقبل المتصلين المجهولين كلما كان الخيار `disableBulkEncode` فارغاً، وهو الوضع الافتراضي. يتم حل معامل `path` الخاص به باستخدام `realpath()` وإدراجه بـ `scandir()` دون تقييد الدليل الأساسي. يمكن لمهاجم دون مصادقة تشغيل معالج قائمة الانتظار المميز، وقراءة معلومات قائمة الانتظار وموقع البث، والحصول على إحصائيات الذاكرة، وتعداد أسماء ملفات الوسائط ومساراتها في أي دليل يمكن لمستخدم خادم الويب قراءته. يقتصر التعداد على امتدادات الوسائط المكوّنة ولا يكشف بحد ذاته عن محتويات الملفات العشوائية. تم إصلاح هذه المشكلة في الإصدار 8.1.0.