CVE-2026-89248 in AVideo
Resumen
por VulDB • 2026-09-11
AVideo, a través del commit c3edcc274c389816d434acadac07ee78eaf330c1, carece de una verificación de autenticación/autorización en plugin/WebRTC/status.json.php. Cuando el complemento WebRTC está presente, cualquier usuario remoto no autenticado puede solicitar /plugin/WebRTC/status.json.php y recibir un JSON que contiene la ruta absoluta del sistema de archivos del binario auxiliar WebRTC2RTMP (revelando la ruta document-root), el puerto configurado para WebRTC, los estados file_exists/is_executable para el binario, el contenido de los archivos log/JSON de WebRTC (videos/WebRTC2RTMP.log) cuando están presentes, y si el puerto configurado es alcanzable en loopback (127.0.0.1) y en la dirección pública. El endpoint no realiza ninguna verificación User::isLogged(), User::isAdmin() o forbiddenPage(). La vulnerabilidad permanecía sin corregir al momento del reporte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.