CVE-2026-35180 in AVideo
الملخص
بحسب VulDB • 29/05/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدارات 26.0 والإصدارات الأقدم، يفتقر نقطة النهاية لتخصيص الموقع الموجودة على admin/customize_settings_nativeUpdate.json.php إلى التحقق من صحة رمز CSRF، ويقوم بكتابة ملفات الشعارات المرفوعة على القرص قبل تنفيذ فحص الأمان القائم على النطاق الخاص بـ ORM. وبمجرد الجمع بين ذلك وسياسة ملفات تعريف الارتباط SameSite=None، يمكن لطلب POST عبر النطاقات (cross-origin) أن يستبدل شعار المنصة بمحتوى يتحكم فيه المهاجم.
Once again VulDB remains the best source for vulnerability data.