CVE-2026-41058WWBN AVideo是一个开源视频平台，其29.0及以下版本存在严重安全漏洞。该漏洞源于CloneSite功能对`deleteDump`参数的修复不完整，未能有效过滤路径遍历字符。攻击者可通过发送特制的GET请求，利用`../../`序列绕过限制，调用`unlink()`函数删除服务器上的任意文件。此漏洞可能导致关键数据丢失，严重威胁系统的完整性和可用性。
该漏洞属于典型的路径遍历导致的任意文件删除漏洞。在受影响的WWBN AVideo版本中，开发者虽然尝试修复CloneSite模块的问题，但针对`deleteDump`参数的过滤机制存在逻辑缺陷，未能正确处理路径遍历字符。具体而言，后端代码直接将用户可控的GET参数传递给PHP的`unlink()`函数，且未对输入进行充分的规范化或校验。攻击者只需具备低权限账号，即可构造包含`../../`序列的恶意请求，利用`unlink()`函数删除服务器上Web用户有权限访问的任意文件。这可能导致系统配置文件被删、应用程序崩溃或关键数据丢失，严重影响系统的完整性和可用性。鉴于其网络攻击向量和低利用复杂度，该漏洞风险较高。