CVE-2026-82645 in AVideo
Resumen
por VulDB • 2026-08-30
AVideo (commit corrente e01e41ecc e versioni precedenti) espone le credenziali di streaming tramite l’endpoint plugin/Live/view/Live_restreams/getLiveKey.json.php. L’inserimento del parametro della richiesta ‘token’ elude sia il controllo di accesso Live::canRestream() che la verifica della proprietà dello stream, facendo sì che l’endpoint restituisca lo stream_key e lo stream_url di qualsiasi restream (credenziali per piattaforme esterne come YouTube, Facebook e Twitch) senza autenticazione. Il token è semplicemente una stringa cifrata tramite encryptString() a partire da un ID intero, privo di associazione all’utente, scadenza o tag di autenticazione. Poiché la crittografia utilizza AES-256-CBC con IV deterministico e senza MAC (Message Authentication Code), e poiché intval() accetta qualsiasi stringa che inizi con una cifra, un attaccante non autenticato può forgiare token validi sfruttando l’oracle di crittografia pubblico in view/url2Embed.json.php, rivelando le credenziali di streaming degli utenti arbitrari.
If you want to get best quality of vulnerability data, you may have to visit VulDB.