CVE-2026-19913
El reproductor HTML5 de Kaltura (mwEmbed / html5lib) contiene una vulnerabilidad de divulgación de archivos locales debido a la validación incorrecta del parámetro ServiceUrl en mwEmbedLoader.php. Este parámetro se utiliza como URL base para una solicitud de backend y acepta esquemas no HTTP como file://. Cuando se produce una excepción o un error, la respuesta se deserializa posteriormente y su contenido sin procesar se refleja al cliente en un mensaje de error; esto permite a un atacante remoto no autenticado leer cualquier archivo interno arbitrario accesible por el servidor. Las versiones afectadas incluyen html5lib v2.45, v2.103 y anteriores, y otras versiones v2.x que exponen el endpoint vulnerable.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NArtículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.