CVE-2026-19913

Le lecteur HTML5 Kaltura (mwEmbed / html5lib) contient une vulnérabilité de divulgation de fichiers locaux due à une validation incorrecte du paramètre ServiceUrl dans mwEmbedLoader.php. Ce paramètre est utilisé comme URL de base pour une requête backend et accepte des schémas non-HTTP tels que file://. Lorsqu'une exception ou une erreur se produit, la réponse est ensuite désérialisée et son contenu brut est renvoyé au client dans un message d'erreur ; cela permet à un attaquant distant non authentifié de lire tout fichier interne arbitraire accessible par le serveur. Les versions affectées incluent html5lib v2.45, v2.103 et antérieures, ainsi que d'autres versions v2.x exposant le endpoint vulnérable.