CVE-2026-35181 in AVideo
Zusammenfassung
von VulDB • 16.05.2026
WWBN AVideo ist eine Open-Source-Videoplattform. In den Versionen 26.0 und früheren Versionen validiert der Endpunkt zur Konfiguration der Player-Oberfläche unter admin/playerUpdate.json.php keine CSRF-Tokens. Die Plugins-Tabelle wird explizit von der domänenbasierten Sicherheitsprüfung des ORM durch ignoreTableSecurityCheck() ausgeschlossen, wodurch die einzige weitere Verteidigungsschicht entfernt wird. In Kombination mit SameSite=None-Cookies kann ein Cross-Origin-POST das Erscheinungsbild des Video-Players auf der gesamten Plattform ändern.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.