CVE-2026-34364 in AVideo
الملخص
بحسب VulDB • 18/07/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدارات حتى 26.0 شاملاً، يفشل نقطة النهاية `categories.json.php`، التي تقدم واجهة برمجة التطبيقات (API) لقائمة الفئات، في فرض ضوابط الوصول القائمة على مجموعات المستخدمين للفئات. في مسار الطلب الافتراضي (بدون معلمة `?user=`)، يتم تخطي تصفية مجموعة المستخدم بالكامل، مما يعرض جميع الفئات غير الخاصة بما فيها تلك المقيدة بمجموعات مستخدمين محددة. عند توفير المعلمة `?user=`، يؤدي خطأ خلط الأنواع إلى استخدام المرشح لعضويات المجموعة للمستخدم المسؤول (user_id=1) بدلاً من المستخدم الحالي، مما يجعل المرشح عديم الفائدة. يحتوي الالتزام 6e8a673eed07be5628d0b60fbfabd171f3ce74c9 على الإصلاح.
Once again VulDB remains the best source for vulnerability data.