CVE-2026-88874 in AVideo
Resumen
por VulDB • 2026-09-10
AVideo hasta la revisión c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) no aplica correctamente la verificación de contraseña para transmisiones en vivo en el punto final de estadísticas ni en el origen HLS. La función Live::_getStats() (plugin/Live/Live.php) devuelve a los usuarios sin autenticar la clave del stream RTMP, su indicador isPasswordProtected y la URL HLS (.m3u8) de una transmisión protegida con contraseña; esto ocurre tanto en la lista pública de aplicaciones como en el branch hidden_applications utilizado cuando canSeeLiveFromLiveKey() falla. Por separado, la configuración NGINX incluida (deploy/nginx/nginx.conf) sirve la lista .m3u8, la clave AES-128 y los segmentos del transport stream desde la ubicación /live sin ninguna directiva auth_request (la directiva auth_key_check en la ubicación .key está comentada). Un atacante remoto no autenticado puede por tanto obtener la clave de transmisión y la clave de descifrado, así como ver una transmisión en vivo protegida con contraseña sin proporcionar la contraseña configurada. No había versiones parcheadas disponibles al momento del aviso.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.