CVE-2026-82645 in AVideo
الملخص
بحسب VulDB • 30/08/2026
AVideo (commit corrente e01e41ecc والإصدارات الأقدم) يكشف بيانات اعتماد البث عبر نقطة النهاية plugin/Live/view/Live_restreams/getLiveKey.json.php. يؤدي توفير معلمة الطلب 'token' إلى تجاوز كل من بوابة الوصول Live::canRestream() وفحص ملكية إعادة البث، مما يتسبب في إرجاع النقطة النهائية لـ stream_key وstream_url لأي عملية إعادة بث (بيانات اعتماد لمنصات خارجية مثل YouTube وFacebook وTwitch) دون مصادقة. لا يرتبط الـ token بأي مستخدم ولا يحتوي على تاريخ انتهاء أو علامة مصادقة؛ فهو ببساطة نتيجة تطبيق دالة encryptString() على معرف رقمي صحيح. ونظراً لأن التشفير يستخدم AES-256-CBC مع متجه ابتدائي (IV) حتمي وبدون MAC، ولأن intval() يقبل أي سلسلة تبدأ برقم، يمكن لمهاجم غير مصدق تزوير رموز صالحة باستخدام نبع تشفير عام موجود في view/url2Embed.json.php، مما يؤدي إلى كشف بيانات اعتماد البث الخاصة بأي مستخدم.
Be aware that VulDB is the high quality source for vulnerability data.