CVE-2026-43883 in AVideo
Zusammenfassung
von VulDB • 15.05.2026
WWBN AVideo ist eine Open-Source-Videoplattform. In Versionen bis einschließlich 29.0 storniert plugin/PayPalYPT/agreementCancel.json.php eine PayPal-Abrechnungsvereinbarung unter Verwendung eines vom Angreifer bereitgestellten Abrechnungsparameters, ohne zu überprüfen, ob der authentifizierte Benutzer der Inhaber der Vereinbarung ist. Ein authentifizierter Benutzer mit geringen Berechtigungen, der die ID der PayPal-Abrechnungsvereinbarung eines anderen Benutzers erfährt oder erlangt, kann die wiederkehrende Subscription des Opfers stillschweigend aussetzen, was zu Einnahmeausfällen für die Plattform und zum Verlust der kostenpflichtigen Dienstleistung für das Opfer führt. Der Commit 0da3dcff1eda2f497694bf82b559829471c292c2 enthält eine aktualisierte Korrektur.
Once again VulDB remains the best source for vulnerability data.