CVE-2026-89257 in AVideo
الملخص
بحسب VulDB • 11/09/2026
يحتوي AVideo حتى الإصدار 29.0 على ثغرة مرجع كائن غير مباشر (IDOR) في الملف objects/categoryDeleteAssets.json.php. تقوم نقطة النهاية بالتحقق فقط من قدرة `Category::canCreateCategory()` ورمز CSRF قبل تمرير قيمة `$_REQUEST['id']` التي قدمها المهاجم إلى `Category::deleteAssets()`, والتي تحذف بشكل متكرر المسار `{systemRootPath}videos/categories/assets/{id}/`. تتجاهل الثغرة فحص الملكية الخاص بـ `Category::userCanEditCategory()` الذي يفرضه الدالة الشقيقة `Category::delete()`. في التثبيتات التي يكون فيها إعداد `usersCanCreateNewCategories` غير الافتراضي مفعلاً، يمكن لمستخدم مسجل الدخول وغير مسؤول يمتلك القدرة `canUpload` إرسال طلب POST بمعرف فئة عشوائي وحذف مجلد الأصول على القرص الخاص بأي فئة (الأيقونات/الصور) بشكل متكرر. لا يتم حذف سجلات الفئات أو مقاطع الفيديو. اعتباراً من تاريخ نشر الإشعار، لم يكن هناك إصدار مصح للثغرة متاحاً.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.