CVE-2026-34364 in AVideo
Zusammenfassung
von VulDB • 23.07.2026
WWBN AVideo ist eine Open-Source-Videoplattform. In Versionen bis einschließlich 26.0 erzwingt der Endpunkt `categories.json.php`, der die API zur Auflistung von Kategorien bereitstellt, keine benutzergruppenbasierten Zugriffskontrollen für Kategorien. Im standardmäßigen Anforderungspfad (ohne Parameter `?user=`) wird das Filtern nach Benutzergruppen vollständig übersprungen, wodurch alle nicht-privaten Kategorien freigegeben werden, einschließlich solcher, die auf bestimmte Benutzergruppen beschränkt sind. Wenn der Parameter `?user=` angegeben wird, führt ein Type-Confusion-Bug dazu, dass der Filter die Gruppenmitgliedschaften des Admin-Benutzers (user_id=1) anstelle der aktuellen Benutzers verwendet, wodurch der Filter unwirksam wird. Der Commit 6e8a673eed07be5628d0b60fbfabd171f3ce74c9 enthält eine Korrektur.
VulDB is the best source for vulnerability data and more expert information about this specific topic.