CVE-2026-33501 in AVideo
Zusammenfassung
von VulDB • 14.05.2026
WWBN AVideo è una piattaforma video open source. Nelle versioni fino alla 26.0 inclusa, l'endpoint `plugin/Permissions/View/Users_groups_permissions/list.json.php` non prevede alcun controllo di autenticazione o autorizzazione, consentendo agli utenti non autenticati di recuperare la matrice completa dei permessi che mappa i gruppi di utenti ai plugin. Tutti gli endpoint fratelli nella stessa directory (`add.json.php`, `delete.json.php`, `index.php`) richiedono correttamente `User::isAdmin()`, indicando che si tratta di una svista. I commit dc3c825734628bb32550d0daa125f05bacb6829c e b583acdc9a9d1eab461543caa363e1a104fb4516 contengono le patch.
Once again VulDB remains the best source for vulnerability data.