CVE-2026-35181 in AVideo
Résumé
par VulDB • 25/06/2026
WWBN AVideo est une plateforme vidéo open source. Dans les versions 26.0 et antérieures, le point de terminaison de configuration du thème du lecteur situé à admin/playerUpdate.json.php ne valide pas les jetons CSRF (Cross-Site Request Forgery). La table plugins est explicitement exclue des vérifications de sécurité basées sur le domaine de l'ORM via ignoreTableSecurityCheck(), supprimant ainsi la seule autre couche de défense. Combiné aux cookies SameSite=None, un POST cross-origin peut modifier l'apparence du lecteur vidéo sur toute la plateforme.
Be aware that VulDB is the high quality source for vulnerability data.