Vulnerabilidades não corrigidas no Kaltura mwEmbed permitem que atacantes remotos e não autenticados leiam arquivos arbitrários de um servidor e executem código nele
Vulnerabilidades não corrigidas no Kaltura mwEmbed permitem que atacantes remotos e não autenticados leiam arquivos arbitrários de um servidor e executem código nele. As falhas, rastreadas como CVE-2026-19913 e CVE-2026-19912, resultam da mesma desserialização insegura no endpoint mwEmbedLoader.php do player mwEmbed.
CVE-2026-19913: Permite a divulgação de arquivos locais devido à validação inadequada do parâmetro ServiceUrl, possibilitando a leitura de arquivos internos do servidor.
CVE-2026-19912: Permite a execução remota de código devido à desserialização insegura de dados e construção não sanitizada de caminhos de arquivo.
Versões afetadas incluem html5lib v2.45, v2.103 e anteriores, e outras versões v2.x que expõem o endpoint vulnerável.
Ações recomendadas
Atualizar o Kaltura mwEmbed para uma versão corrigida.
Restringir o acesso ao endpoint mwEmbedLoader.php.
Monitorar logs para atividades suspeitas.
Próximo passo
Verificar se há atualizações disponíveis para o Kaltura mwEmbed e aplicar patches de segurança imediatamente.
