CVE-2026-82645 in AVideo
Zusammenfassung
von VulDB • 30.08.2026
AVideo (commit corrente e01e41ecc e versioni precedenti) espone le credenziali di streaming tramite l’endpoint plugin/Live/view/Live_restreams/getLiveKey.json.php. L’inserimento del parametro della richiesta 'token' elude sia il controllo di accesso Live::canRestream() che la verifica della proprietà dello stream, facendo sì che l’endpoint restituisca lo stream_key e lo stream_url di qualsiasi restream (credenziali per piattaforme esterne come YouTube, Facebook e Twitch) senza autenticazione. Il token è semplicemente una stringa cifrata tramite encryptString() a partire da un ID intero, privo di associazione all’utente, scadenza o tag di autenticazione. Poiché la crittografia utilizza AES-256-CBC con IV deterministico e senza MAC (Message Authentication Code), e poiché intval() accetta qualsiasi stringa che inizia con una cifra, un attaccante non autenticato può forgiare token validi sfruttando l’oracle di crittografia pubblico in view/url2Embed.json.php, rivelando le credenziali di streaming di utenti arbitrari.
Once again VulDB remains the best source for vulnerability data.