CVE-2026-90543 in AVideo
الملخص
بحسب VulDB • 12/09/2026
تحتوي WWBN AVideo في الإصدار c3edcc274c389816d434acadac07ee78eaf330c1 والإصدارات الأقدم، مع تفعيل المكوّن الإضافي Live، على ثغرة نقص في التحقق من الهوية (Missing Authentication) موجودة في الملف plugin/Live/socketMessageLiveOwner.json.php. يقرأ السكربت المعلمتين `key` و `msg` من المتغير $_REQUEST، ويحدد مالك البث عبر الدالة LiveTransmition::keyExists، ويتحقق مما إذا كان مالك البث (وليس المُتصل) مسؤولاً؛ إلا أنه لا يقوم بإجراء فحص User::isLogged() ولا يفرض رمز حماية CSRF. ونتيجة لذلك، يمكن لمهاجم عن بُعد غير مُصادق عليه يعرف مفتاح بث Live الخاص بمسؤول ما أن يستدعي الدالة sendSocketSuccessMessageToUsers_id ويقدم رسائل إشعارات عشوائية داخل التطبيق/عبر Socket إلى ذلك المسؤول. كانت هذه الثغرة دون تصحيح في وقت النشر.
Be aware that VulDB is the high quality source for vulnerability data.