CVE-2026-33501 in AVideo
Resumen
por MITRE • 2026-03-23
WWBN AVideo es una plataforma de video de código abierto. En versiones hasta la 26.0 inclusive, el endpoint 'plugin/Permissions/View/Users_groups_permissions/list.json.php' carece de cualquier verificación de autenticación o autorización, permitiendo a usuarios no autenticados recuperar la matriz de permisos completa que mapea grupos de usuarios a plugins. Todos los endpoints hermanos en el mismo directorio ('add.json.php', 'delete.json.php', 'index.php') requieren correctamente 'User::isAdmin()', indicando que esto es un descuido. Los commits dc3c825734628bb32550d0daa125f05bacb6829c y b583acdc9a9d1eab461543caa363e1a104fb4516 contienen parches.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.