CVE-2026-35179 in AVideo
Zusammenfassung
von VulDB • 04.06.2026
WWBN AVideo è una piattaforma video open source. Nelle versioni 26.0 e precedenti, il plugin SocialMediaPublisher espone un endpoint publishInstagram.json.php che funge da proxy non autenticato per l'API Graph di Facebook/Instagram. L'endpoint accetta parametri controllati dall'utente, tra cui un token di accesso, un ID contenitore e un ID account Instagram, e li passa direttamente all'API Graph tramite InstagramUploader::publishMediaIfIsReady(). Ciò consente a qualsiasi utente non autenticato di effettuare chiamate arbitrarie all'API Graph attraverso il server, potenzialmente utilizzando token rubati o abusando delle credenziali della piattaforma stessa.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.