CVE-2026-81733 in AVideo
Zusammenfassung
von VulDB • 28.08.2026
WWBN AVideo bis Version 30.0 (sowie die Master-Version bis zum Commit 4cb576e) enthält eine Cross-Site Request Forgery (CSRF)-Schwachstelle in plugin/Live/myLiveControls.save.json.php. Der Endpunkt überprüft lediglich, ob ein Benutzer angemeldet ist, und verarbeitet die Parameter customUrl, customMessage und autoRedirect aus $_REQUEST über eine GET-Anfrage, ohne ein CSRF-Token oder eine Ursprungsprüfung zu erzwingen. Ein Angreifer kann einen angemeldeten Streamer auf eine bösartige Seite locken, um die Einstellungen für die Weiterleitung von Live-Channel-Betrachtern (gespeichert in users.externalOptions) stillschweigend zu ändern, wodurch Betrachter zu einer Phishing-Site weitergeleitet oder mit einer gefälschten Nachricht konfrontiert werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.