WWBN AVideo is an open source video platform. Prior to version 26.0, the `listFiles.json.php` endpoint accepts a `path` POST parameter and passes it directly to `glob()` without restricting the path to an allowed base directory. An authenticated uploader can traverse the entire server filesystem by supplying arbitrary absolute paths, enumerating `.mp4` filenames and their full absolute filesystem paths wherever they exist on the server — including locations outside the web root, such as private or premium media directories. Version 26.0 contains a patch for the issue.

WWBN AVideo es una plataforma de video de código abierto. Antes de la versión 26.0, el endpoint 'listFiles.json.php' acepta un parámetro POST 'path' y lo pasa directamente a 'glob()' sin restringir la ruta a un directorio base permitido. Un cargador autenticado puede recorrer todo el sistema de archivos del servidor al proporcionar rutas absolutas arbitrarias, enumerando nombres de archivo .mp4 y sus rutas absolutas completas del sistema de archivos dondequiera que existan en el servidor — incluyendo ubicaciones fuera de la raíz web, como directorios de medios privados o premium. La versión 26.0 contiene un parche para el problema.