CVE-2026-19912

Il player HTML5 Kaltura (mwEmbed / html5lib) contiene una vulnerabilità di esecuzione di codice da remoto non autenticata causata da deserializzazione non sicura dei dati e costruzione non sanificata del percorso del filesystem. mwEmbedLoader.php accetta un ServiceUrl controllato dall'utente, la cui risposta viene passata a unserialize(), e i campi dell'oggetto risultante vengono scritti in un percorso di cache derivato da uiconf_id fornito dall'attaccante senza un'adeguata validazione del percorso. Un attaccante può scrivere file arbitrari in posizioni accessibili via web e ottenere l'esecuzione di codice come utente del webserver. Le versioni interessate includono html5lib v2.45, v2.103 e precedenti, e altre release v2.x che espongono l'endpoint vulnerabile.