CVE-2026-90537 in AVideo

Zusammenfassung

von VulDB • 12.09.2026

WWBN AVideo ab dem Commit c3edcc274c389816d434acadac07ee78eaf330c1 enthält eine fehlende Autorisierungs-Schwachstelle in plugin/Scheduler/sendEmail.json.php, die es nicht authentifizierten Angreifern ermöglicht, auf E-Mail-Jobs des Schedulers zuzugreifen, indem sie ein sitespezifisches tägliches Token bereitstellen. Angreifer können Scheduler-Jobs auflisten, private Live-Titel und E-Mail-Adressen lesen sowie das Senden von E-Mails auslösen, indem sie jedes gültige tägliche Token angeben, das von den Live-Seiten bezogen wurde.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Zuständig: VulnCheck
• Reservieren: 12.09.2026
• Veröffentlichung: 12.09.2026
• Moderieren: akzeptiert
• Eintrag: VDB-403133
• CPE: bereit
• CWE: CWE-285 (bestätigt)
• CVSS: 8.2 (CNA)
• EPSS: 0.00000
• KEV: nein
• Aktivitäten: very low

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-90537
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-90537
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-90537/