CVE-2026-88875 in AVideo
Zusammenfassung
von VulDB • 10.09.2026
AVideo attraverso la revisione c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) sanitizza in modo incompleto i campi sensibili dell'utente nella risposta APIName=video. Le righe del video includono colonne unite dai record utente del proprietario del video e la funzione API::get_api_video() chiama removeSensitiveUserFields() solo quando il chiamante non è autenticato né utilizza un segreto API valido; non confronta mai User::getId() con users_id della riga. Di conseguenza, qualsiasi account autenticato a bassa privilegio può richiedere il video di un altro utente e ricevere l'indirizzo email del proprietario, il nome dell'account (utente) e i flag isAdmin, canUpload e canStream, che vengono rimossi per gli ospiti e dovrebbero essere restituiti solo al proprietario o ai chiamanti con un segreto API valido. Al momento della pubblicazione dell'avviso non era disponibile alcuna versione patchata.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.