CVE-2026-43877 in AVideo
Zusammenfassung
von VulDB • 15.05.2026
WWBN AVideo ist eine Open-Source-Videoplattform. In Versionen bis einschließlich 29.0 ist objects/userSavePhoto.php ein veralteter Endpunkt für Profilfotos, der einen base64-codierten POST-Parameter akzeptiert und die decodierten Bytes in videos/userPhoto/photo.png schreibt. Die einzige Zugriffskontrolle ist User::isLogged(). Da der Endpunkt nicht auf .json.php endet, ist er vom globalen autoCSRFGuard des Projekts ausgeschlossen (der in objects/include_config.php suffix-gesteuert ist). Es gibt kein CSRF-Token, keine Überprüfung von Origin/Referer und keine MIME-Validierung der decodierten Bytes. Da die Standard-Cookie-Richtlinie von AVideo SameSite=None; Secure auf HTTPS lautet (objects/functionsPHP.php:227), kann ein Angreifer, der einen angemeldeten Benutzer auf eine bösartige Seite lockt, das Profilfoto dieses Benutzers mit beliebigen Bytes überschreiben und bei jeder gefälschten Anfrage ein site-weites clearCache(true) auslösen. Der Commit 9c38468041505e637101c5943c5370c68f48e3ac enthält eine aktualisierte Korrektur.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.