CVE-2026-19912

Le lecteur HTML5 Kaltura (mwEmbed / html5lib) contient une vulnérabilité d'exécution de code à distance non authentifiée causée par une désérialisation de données non sécurisée et une construction de chemin du système de fichiers non assaini. mwEmbedLoader.php accepte un ServiceUrl contrôlé par l'utilisateur, dont la réponse est transmise à unserialize(), et les champs de l'objet résultant sont écrits dans un chemin de cache dérivé de uiconf_id fourni par l'attaquant sans validation appropriée du chemin. Un attaquant peut écrire des fichiers arbitraires dans des emplacements accessibles depuis le Web et obtenir une exécution de code en tant qu'utilisateur du serveur Web. Les versions affectées incluent html5lib v2.45, v2.103 et antérieures, et d'autres versions v2.x exposant le endpoint vulnérable.