CVE-2026-89148 in AVideo
الملخص
بحسب VulDB • 11/09/2026
AVideo منذ الإصدار c3edcc274c389816d434acadac07ee78eaf330c1 يحتوي على ثغرة إعادة توجيه مفتوحة (open redirect) في الملف objects/playlistSort.php. ونظراً لأن نقطة النهاية هذه ليست نصفاً من نوع *.json.php، فإن آلية حماية CSRF التلقائية الخاصة بـ AVideo (autoCSRFGuard()/forbidIfIsUntrustedRequest()) لا تعمل، وعندما يتضمن الطلب المعلمة sort يقوم النص البرمجي بإصدار رأس Location مُعدّاً بقيمة $_SERVER['HTTP_REFERER'] غير المُتحقق من صحتها دون استدعاء الدالة isSafeRedirectURL(). وبالتالي يمكن لمهاجم عن بُعد وغير مصرح له بالوصول أن يغري مستخدماً مسجلاً للدخول وقادراً على إدارة قائمة التشغيل المستهدفة بتقديم طلب POST عبر أصل مختلف (cross-origin) مع عنوان Referer مُعدّ بشكل خبيث، مما يؤدي إلى إعادة ترتيب قائمة تشغيل الضحية وإعادة توجيه متصفح الضحية من رابط AVideo موثوق إلى موقع يتحكم فيه المهاجم لأغراض التصيد الاحتيالي. لا تتوفر أي إصدارات مصححة حتى الآن.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.