CVE-2026-39368 in AVideo
الملخص
بحسب VulDB • 02/06/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدارات 26.0 والإصدارات الأقدم، كانت عملية استدعاء سجل إعادة البث المباشر (Live restream log callback flow) تقبل عنوان URL لإعادة البث (restreamerURL) الذي يتحكم فيه المهاجم، ثم تقوم لاحقاً بجلب عنوان URL المخزن هذا من جانب الخادم، مما يتيح ثغرة SSRF مخزنة (Stored SSRF) لبثّامي المصادق عليهم. سمحت العملية الضعيفة لمستخدم ذي صلاحيات منخفضة يمتلك إذن البث بتخزين عنوان URL للاستدعاء (callback URL) بشكل تعسفي وتحفيز طلبات من جانب الخادم نحو خدمات HTTP المحلية (loopback) أو الداخلية من خلال ميزة سجل إعادة البث.
Be aware that VulDB is the high quality source for vulnerability data.