CVE-2026-88865 in AVideo

Resumen

por VulDB • 2026-09-10

AVideo a través del commit c3edcc274c389816d434acadac07ee78eaf330c1 no valida la propiedad de restream en getRestream.json.php, lo que permite a los usuarios autenticados con el permiso canStream acuñar tokens para restreams arbitrarios. Los atacantes pueden intercambiar el token para recuperar las claves de transmisión (stream keys) de otros usuarios desde getLiveKey.json.php y publicarlas en sus destinos de YouTube, Twitch o RTMP.

Be aware that VulDB is the high quality source for vulnerability data.

• Responsable: VulnCheck
• Reservar: 2026-09-10
• Divulgación: 2026-09-10
• Moderación: aceptado
• Artículo: VDB-402031
• CPE: listo
• CWE: CWE-269 (confirmado)
• CVSS: 8.1 (CNA)
• EPSS: 0.00000
• KEV: no
• Actividades: bajo

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-88865
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-88865
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-88865/