Vulnerabilidad en Kaltura (CVE-2016-15044)

Gravedad CVSS v4.0:

CRÍTICA

Tipo:

CWE-94 Control incorrecto de generación de código (Inyección de código)

Fecha de publicación:

23/07/2025

Última modificación:

25/07/2025

Descripción

Existe una vulnerabilidad de ejecución remota de código en las versiones de Kaltura anteriores a la 11.1.0-2 debido a la deserialización insegura de datos controlados por el usuario dentro del módulo keditorservices. Un atacante remoto no autenticado puede explotar este problema enviando un objeto PHP serializado especialmente manipulado en el parámetro GET de kdata al endpoint redirectWidgetCmd. Una explotación exitosa conlleva la ejecución de código PHP arbitrario en el contexto del proceso del servidor web.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 9.30 CRÍTICA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

9.30

Gravedad 4.0

CRÍTICA

Vulnerabilidad en Kaltura (CVE-2016-15044)

Descripción

Impacto

Referencias a soluciones, herramientas e información