CVE-2026-86189: Kritisk fejl i WWBN AVideo

CVE-2026-86189 er en sårbarhed i videoplatformen WWBN AVideo, som mange organisationer bruger til at hoste og streame video selv. Fejlen sidder i filen notify.ffmpeg.json.php og er en såkaldt path traversal, hvor et program ikke kontrollerer, om en filsti peger uden for det tilladte område. Angriberen sender en parameter kaldet avideoRelativePath med sin egen sti og kan derved skrive filer til vilkårlige mapper på serveren, herunder programmets rodmappe. Login er ikke nødvendigt: systemet bruger en krypteret token kaldet notifyCode til at godkende kald, men koden bliver aldrig valideret efter dekryptering. En angriber kan derfor genbruge en tidligere set krypteret værdi og omgå login helt.

Sårbarheden rammer virksomheder og kommuner, der kører WWBN AVideo, en open source-platform til videohosting og streaming, typisk brugt til intranet-tv, e-læring eller mediearkiver. Alle installationer, hvor notify.ffmpeg.json.php er tilgængelig fra internettet uden yderligere netværksbeskyttelse, er i risiko. Der er ikke oplyst en specifik version i NVD-data, så alle nuværende og ældre installationer bør betragtes som berørte, indtil leverandøren bekræfter en rettet version.

En angriber kan uden login skrive en fil med skadelig kode direkte ind i webserverens mappe og dermed få systemet til at udføre kommandoer på serveren. I praksis betyder det, at angriberen kan overtage hele serveren, læse eller ændre alt indhold, sætte skadelig software op eller bruge serveren som springbræt ind i resten af netværket. For en dansk virksomhed kan det betyde nedbrud af videoplatformen, tab af data og i værste fald adgang til andre systemer på samme netværk.

Sårbarheden har en CVSS-score på 9,8 ud af 10 og er kategoriseret som kritisk. Den kan udnyttes over netværket, kræver ingen særlig teknisk viden (lav kompleksitet), kræver ingen login (ingen privilegier) og kræver ingen handling fra en bruger. Angrebet giver fuld skade på fortrolighed, integritet og tilgængelighed af systemet. Der er ikke oplyst tegn på aktiv udnyttelse i naturen, men den detaljerede beskrivelse af angrebsmetoden tyder på, at et proof of concept kan være offentligt tilgængeligt.

Følg punkterne i denne rækkefølge for at lukke hullet og begrænse skaden:

1. Kontakt WWBN eller tjek projektets officielle side for en opdateret version, der retter sårbarheden i notify.ffmpeg.json.php, og installér den så hurtigt som muligt.
2. Kan I ikke opdatere med det samme, så blokér adgang til notify.ffmpeg.json.php udefra via jeres firewall eller reverse proxy, og tillad kun adgang fra betroede interne IP-adresser.
3. Gennemgå AVideo-serverens filsystem for nye eller uventede filer, især i webrodmappen og undermapper, som kan være tegn på, at sårbarheden allerede er udnyttet.
4. Skift alle hemmelige nøgler og krypteringsmateriale, der bruges til at generere notifyCode-tokens, da tidligere udstedte værdier kan være kompromitteret.
5. Isolér AVideo-serveren fra resten af netværket, indtil opdateringen er på plads, hvis systemet ligger på et fladt netværk uden segmentering.
6. Hvis I ikke selv kan vurdere, om systemet allerede er kompromitteret, eller I ikke har ressourcer til at undersøge filsystemet grundigt, bør I hente ekstern hjælp til en teknisk gennemgang.