CVE-2026-89257 in AVideo
Zusammenfassung
von VulDB • 11.09.2026
AVideo bis Version 29.0 enthält eine unsichere direkte Objektreferenz (IDOR)-Schwachstelle in objects/categoryDeleteAssets.json.php. Der Endpunkt validiert nur die Berechtigung Category::canCreateCategory() und einen CSRF-Nonce, bevor er das vom Angreifer bereitgestellte $_REQUEST['id'] an Category::deleteAssets() übergibt, welches rekursiv {systemRootPath}videos/categories/assets/{id}/ löscht. Es fehlt der von dem verwandten Endpunkt Category::delete() durchgeführte Ownership-Check Category::userCanEditCategory(). Auf Installationen, bei denen die Einstellung usersCanCreateNewCategories (nicht standardmäßig aktiviert) eingeschaltet ist, kann ein authentifizierter Nicht-Admin-Benutzer mit der canUpload-Berechtigung eine POST-Anfrage mit einer beliebigen Kategorie-ID senden und das on-disk Asset-Verzeichnis (Icons/Bilder) jeder beliebigen Kategorie rekursiv löschen. Kategorien-Datensätze und Videos werden nicht gelöscht. Zum Zeitpunkt der Veröffentlichung des Hinweises war keine gepatchte Version verfügbar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.