Una vulnerabilidad crítica en AVideo, una plataforma de alojamiento y transmisión de vídeo de código abierto ampliamente utilizada. Registrada como CVE-2026-29058, esta falla de cero clics tiene una gravedad máxima, permitiendo a atacantes no autenticados ejecutar comandos arbitrarios del sistema operativo en el servidor objetivo. Descubierta por el investigador de seguridad Arkmarta, la vulnerabilidad afecta específicamente a la versión 6.0 de AVideo. 

Una vulnerabilidad crítica en AVideo, una plataforma de hosting y transmisión de vídeo de código abierto ampliamente utilizada. Registrada como CVE-2026-29058, esta falla de zero-click tiene una calificación de gravedad máxima, permitiendo a atacantes no autenticados ejecutar comandos arbitrarios del sistema operativo en el servidor objetivo.

Descubierta por el investigador de seguridad Arkmarta, la vulnerabilidad afecta específicamente a AVideo versión 6.0. Ha sido parcheada oficialmente en la versión 7.0 y posteriores.

Clasificada bajo CWE-78 por la neutralización incorrecta de elementos especiales en un comando del sistema operativo, este ataque basado en red no requiere privilegios ni interacción del usuario.

Si se explota con éxito, los atacantes podrían lograr un compromiso total del servidor, robar secretos de configuración sensibles y secuestrar transmisiones de vídeo en vivo.

Vulnerabilidad en la plataforma AVideo

La causa raíz de esta grave vulnerabilidad reside en el componente objects/getImage.php de la plataforma AVideo.

El problema ocurre cuando la aplicación procesa solicitudes de red que contienen un parámetro base64Url.

La plataforma decodifica en Base64 esta entrada proporcionada por el usuario e la interpola directamente en un comando shell de ffmpeg entre comillas dobles.

Aunque el software intenta validar la entrada usando filtros URL estándar, esta función solo verifica la sintaxis básica de la URL.

Falla por completo en neutralizar metacaracteres peligrosos del shell o secuencias de sustitución de comandos.

Como la aplicación no escapa correctamente estos datos no confiables antes de ejecutar el comando, los atacantes remotos pueden añadir instrucciones maliciosas con facilidad.

Esto permite a usuarios no autorizados ejecutar código arbitrario, exfiltrar credenciales internas o interrumpir intencionalmente las capacidades de transmisión del servidor.

Según el aviso en GitHub, los administradores que usen AVideo-Encoder versión 6.0 deben actualizar a la versión 7.0 o posterior para proteger sus entornos.

La versión parcheada oficialmente resuelve el problema aplicando un escape estricto de argumentos del shell, utilizando funciones como escapeshellarg().

Esta corrección crucial garantiza que toda la entrada proporcionada por el usuario se desinfecte correctamente antes de interactuar con la línea de comandos subyacente, evitando que los atacantes rompan la estructura del comando previsto.

Si una actualización inmediata del software no es viable, los equipos de seguridad deben implementar soluciones temporales para proteger su infraestructura de transmisión.

Los administradores deben restringir drásticamente el acceso al endpoint vulnerable objects/getImage.php en la capa del servidor web o proxy inverso mediante listas blancas de IP estrictas.

Además, las organizaciones deben aplicar reglas de Firewall de Aplicaciones Web (WAF) diseñadas para inspeccionar y bloquear activamente patrones sospechosos de comandos shell codificados en Base64.

Como medida de protección final, los administradores pueden desactivar por completo el componente de recuperación de imágenes si no es necesario para las operaciones diarias de la plataforma.