CVE-2026-19913

Il player HTML5 Kaltura (mwEmbed / html5lib) contiene una vulnerabilità di divulgazione di file locali dovuta a una validazione impropria del parametro ServiceUrl in mwEmbedLoader.php. Questo parametro è utilizzato come URL di base per una richiesta backend e accetta schemi non‑HTTP come file://. Quando si verifica un'eccezione o un errore, la risposta viene successivamente deserializzata e il suo contenuto grezzo viene riflesso al client in un messaggio di errore; ciò consente a un attaccante remoto non autenticato di leggere qualsiasi file interno arbitrario raggiungibile dal server. Le versioni interessate includono html5lib v2.45, v2.103 e precedenti, e altre release v2.x che espongono l'endpoint vulnerabile.