CVE-2026-88875 in AVideo
Resumen
por VulDB • 2026-09-10
AVideo hasta la revisión c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) sanitiza incompletamente los campos sensibles del usuario en la respuesta de APIName=video. Las filas de video incluyen columnas unidas desde el registro de usuario del propietario del video, y API::get_api_video() llama a removeSensitiveUserFields() solo cuando el solicitante no está autenticado ni utiliza un secreto de API válido; nunca compara User::getId() con users_id de la fila. Como resultado, cualquier cuenta autenticada de bajo privilegio puede solicitar el vídeo de otro usuario y recibir la dirección de correo electrónico del propietario, el nombre de cuenta (usuario) y las banderas isAdmin, canUpload y canStream, que se eliminan para los invitados y deberían devolverse solo al propietario o a solicitantes con un secreto de API válido. No había ninguna versión parcheada disponible en el momento del aviso.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.