CVE-2026-88876 in AVideo
Resumen
por VulDB • 2026-09-10
AVideo, hasta la revisión c3edcc274c389816d434acadac07ee78eaf330c1, presenta una vulnerabilidad de falta de autorización en plugin/PlayerSkins/seo.php que permite a atacantes no autenticados acceder a fuentes de video protegidas con contraseña al llamar a getSources() sin validación de la misma. Los atacantes pueden solicitar el endpoint seo.php con un ID de vídeo para obtener la URL directa del archivo MP4 y leer los bytes multimedia protegidos sin proporcionar la contraseña configurada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.