Kaltura mwEmbed tồn tại hai lỗ hổng chưa vá
"CERT/CC disclosed two unpatched vulnerabilities in Kaltura's mwEmbed HTML5 video player library, tracked as CVE-2026-19913 and CVE-2026-19912. The flaws enable remote unauthenticated file disclosure and potential remote code execution through unsafe deserialization in mwEmbedLoader.php, with no patch available; mitigations include restricting external access to the endpoint, allow-listing ServiceUrl, and blocking traversal in uiconf_id."
Rủi ro đọc tệp tùy ý và có thể thực thi mã từ xa; đặc biệt nghiêm trọng nếu endpoint bị phơi ra Internet hoặc nằm trên hạ tầng dùng chung.
Có thể dẫn tới rò rỉ cấu hình, mật khẩu và khóa truy cập, ảnh hưởng nhiều tenant và làm tăng chi phí ứng phó, xoay vòng bí mật, và kiểm tra hạ tầng.
CERT/CC đã công bố hai lỗ hổng chưa được khắc phục trong Kaltura mwEmbed / html5lib, theo dõi là CVE-2026-19913 và CVE-2026-19912. Hai lỗi này cho phép kẻ tấn công không cần xác thực đọc tệp tùy ý từ máy chủ và có thể dẫn tới thực thi mã từ xa thông qua cơ chế unsafe deserialization trong mwEmbedLoader.php.
Điều kiện khai thác được mô tả là chỉ cần có truy cập mạng tới endpoint bị ảnh hưởng. CERT/CC cho biết hiện chưa có bản vá, đồng thời không thể phối hợp với nhà cung cấp tại thời điểm công bố. Một số triển khai còn chịu rủi ro cao hơn vì endpoint này có thể xuất hiện trên hạ tầng CDN dùng chung của Kaltura, ảnh hưởng tới nhiều tenant.
Khuyến nghị kỹ thuật gồm: chặn hoặc vô hiệu hóa endpoint tại WAF/reverse proxy/CDN, chỉ cho phép ServiceUrl trỏ tới API hợp lệ, từ chối giá trị uiconf_id có dấu hiệu path traversal, ngăn PHP execution trong thư mục cache, hạn chế outbound network access, và xoay vòng thông tin nhạy cảm trong local.ini nếu endpoint đã từng bị lộ.
CERT/CC nêu các bản phát hành bị ảnh hưởng gồm html5lib v2.45, v2.103 và các bản cũ hơn, cùng các bản v2.x có lộ endpoint này.