CVE-2026-88871 in AVideo
Resumen
por VulDB • 2026-09-10
WWBN AVideo hasta el commit c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) contiene una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) en el endpoint plugin/CustomizeUser/setSubscribers.json.php del plugin CustomizeUser. El script lee users_id y ExtraSubscribers desde $_REQUEST e invoca a User::setExtraSubscribers() sin requerir una solicitud POST ni un token CSRF válido; autoCSRFGuard() se aplica únicamente a las solicitudes POST dirigidas a *.json.php, y la mutación no pasa por ObjectYPT::save()/isUntrustedRequest(), por lo que una GET de origen cruzado tiene éxito. Un atacante remoto no autenticado que induzca a un administrador conectado a cargar una página manipulada (por ejemplo, una etiqueta <img> apuntando al endpoint) puede falsificar el conteo ExtraSubscribers mostrado en el canal de cualquier usuario. El plugin CustomizeUser está habilitado por defecto y no había ninguna versión corregida disponible en el momento del reporte.
If you want to get best quality of vulnerability data, you may have to visit VulDB.