WWBN AVideo - это видеоплатформа с открытым исходным кодом. До версии 26.0 функция плагина «Запуск()`` Цестерна в «plugin/Scheduler/Schedul…

WWBN AVideo - это видеоплатформа с открытым исходным кодом. До версии 26.0 функция плагина «Запуск()`` Цестерна в «plugin/Scheduler/Scheduler.php`» вызывает `url_get_contents()` с админ-настоянным `cllbackURL`, который проверяется только `isValidURL()` (проверка формата URL). В отличие от других конечных точек AVideo, которые недавно были исправлены для SSRF (GHSA-9x67-f2v7-63rw, GHSA-h39h-7cvg-q7j6), URL-адрес обратного вызова Записателя никогда не передается через `isSSRFSafeURL()``, который блокирует запросы на частные адреса RFC-1918, локобрат и конечные точки облачных метаданных. Админ может настроить запланированную задачу с внутренней сетью `callbackURL` для выполнения SSRF против служб метаданных облачной инфраструктуры или внутренних API, не доступных иным образом из Интернета. Версия 26.0 содержит патч для выпуска.