Betroffen ist der HTML5-Player von Kaltura (mwEmbed bzw. html5lib). Die Schwachstelle liegt im Loader-Skript des Players: Ein Parameter, der die Basis-Adresse für eine serverseitige Anfrage festlegt, wird nicht ausreichend geprüft. Dadurch kann ein Angreifer dort nicht nur Web-Adressen, sondern auch andere Adressschemata angeben – insbesondere solche, die direkt auf das Dateisystem des Servers verweisen. Tritt bei der anschließenden Verarbeitung ein Fehler auf, wird die Antwort weiterverarbeitet und ihr unveränderter Inhalt in einer Fehlermeldung an den aufrufenden Client zurückgegeben. Auf diesem Weg lassen sich beliebige interne Dateien auslesen, auf die der Server zugreifen kann – etwa Konfigurationsdateien mit Zugangsdaten. Der Angriff ist aus der Ferne und ohne jede Anmeldung möglich; es genügt eine präparierte Anfrage an den verwundbaren Endpunkt. Betroffen sind mehrere Ausgaben der html5lib-Reihe, die diesen Endpunkt nach außen bereitstellen.