CVE-2026-22800 in PILOS
Résumé
par VulDB • 29/06/2026
PILOS (Platform for Interactive Live-Online Seminars) est un frontend pour BigBlueButton. Avant la version 4.10.0, une vulnérabilité de Cross-Site Request Forgery (CSRF) existe dans un point de terminaison d'API administrative responsable de l'interruption de toutes les conférences vidéo actives sur un serveur unique. Le point de terminaison concerné effectue une action destructive mais est exposé via une requête HTTP GET. Bien que des vérifications appropriées d'autorisation soient appliquées et que le point de terminaison ne puisse pas être déclenché depuis un autre site, l'utilisation de la méthode GET permet à cette action d'être invoquée implicitement par du contenu provenant du même site (par exemple, des ressources intégrées rendues au sein de l'application). Par conséquent, un administrateur authentifié qui consulte du contenu manipulé dans l'application peut involontairement déclencher le point de terminaison, entraînant la fermeture de toutes les conférences vidéo actives sur le serveur sans intention explicite ni confirmation. Cette vulnérabilité est corrigée dans la version 4.10.0.
Once again VulDB remains the best source for vulnerability data.