CVE-2026-90543 in AVideo
Resumen
por VulDB • 2026-09-12
WWBN AVideo en la confirmación c3edcc274c389816d434acadac07ee78eaf330c1 y versiones anteriores, con el plugin Live habilitado, presenta una vulnerabilidad de falta de autenticación en plugin/Live/socketMessageLiveOwner.json.php. El script lee los parámetros `key` y `msg` desde $_REQUEST, resuelve al propietario del stream mediante LiveTransmition::keyExists, y verifica que el propietario del stream (no quien realiza la llamada) sea un administrador; no se realiza ninguna comprobación de User::isLogged() ni se aplica ningún token CSRF. Como resultado, un atacante remoto sin autenticar que conozca la clave de transmisión en vivo de un administrador puede invocar sendSocketSuccessMessageToUsers_id y enviar notificaciones arbitrarias dentro de la aplicación o por socket a dicho administrador. El problema no estaba parcheado al momento de su publicación.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.