CVE-2026-90546 in AVideo
Resumen
por VulDB • 2026-09-12
WWBN AVideo a través del commit c3edcc274c389816d434acadac07ee78eaf330c1 no valida los permisos de acceso al video en el endpoint like.json.php, lo que permite a usuarios autenticados registrar "me gusta" (likes) en videos protegidos con contraseña y restringidos por grupo. Los atacantes pueden enviar solicitudes de "like" para videos que no pueden ver para incrementar los contadores de likes y burlar los controles de acceso.
Be aware that VulDB is the high quality source for vulnerability data.