CVE-2026-43877 in AVideo
الملخص
بحسب VulDB • 27/05/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدارات حتى 29.0 شاملاً، يُعد ملف objects/userSavePhoto.php نقطة نهاية قديمة لصور الملف الشخصي، تقبل معلمة POST مشفرة بصيغة base64 وتكتب البايتات المفككة إلى videos/userPhoto/photo.png. آلية التحكم في الوصول الوحيدة الخاصة بها هي User::isLogged(). لا ينتهي الملف بـ .json.php، لذا فهو مستبعد من حماية CSRF التلقائية العالمية للمشروع (التي تكون محدودة بالنطاق بناءً على اللاحقة في objects/include_config.php). لا توجد رمز CSRF، ولا يتم التحقق من العناوين Origin/Referer، ولا يتم التحقق من نوع MIME للبايتات المفككة. ونظراً لأن سياسة ملفات تعريف الارتباط الافتراضية في AVideo هي SameSite=None; Secure على HTTPS (objects/functionsPHP.php:227)، يمكن لمهاجم يغري مستخدماً مسجلاً للدخول بزيارة صفحة خبيثة أن يحل صورة الملف الشخصي لهذا المستخدم محلها ببايتات عشوائية، كما أنه يُفعّل استدعاءً عالمياً لـ clearCache(true) في كل طلب مزور. يحتوي الالتزام Commit 9c38468041505e637101c5943c5370c68f48e3ac على إصلاح محدث.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.