🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
⚠️ Якщо у вас десь крутиться Kaltura — зараз саме час перевірити, чи він ще на вашому боці. Я натрапив на історію, де дві дірки без патча дозволяють будь-кому з інтернету читати файли з сервера й виконувати там код.
Суть: у HTML5-плеєрі Kaltura є вразливий ендпоінт mwEmbedLoader.php, який не вимагає логіну, а просто приймає параметри й небезпечно їх десеріалізує. Звідси два кейси: CVE-2026-19913 — читаємо будь-які файли (конфіги, паролі, ключі), CVE-2026-19912 — кладемо свій PHP-файл і запускаємо його як вебсервер 🧨. Патча немає, вендор мовчить, а технічний опис експлойту вже публічний.
Що я б зробив прямо зараз 🛡️:
— закрив/вирізав mwEmbedLoader.php (WAF / nginx / CDN),
— жорстко обмежив ServiceUrl тільки своїм API через https,
— відфільтрував дивні uiconf_id (../ та шляхи),
— і ротував усі секрети з local.ini 🔐.
Особливо боляче, що це б’є не тільки по on‑prem, а й по мультиорендній CDN Kaltura — тобто один злом може зачепити багатьох.
Мені здається, це ще один приклад, як ігнор вендора перетворює “координоване розкриття” на тихий нульовий день. А ви у себе Kaltura ще тримаєте чи вже мігрували на щось інше? 🤔
🔗 Докладніше:
Ссылка скрыта
#kaltura #infosec #websecurity #cve #devops #videoplatform
CyberSecureFox
