CVE-2026-46337 in AVideo
Résumé
par VulDB • 29/05/2026
WWBN AVideo est une plateforme vidéo open source. Dans les versions 29.0 et antérieures, un attaquant distant non authentifié peut lire des fichiers image arbitraires situés n'importe où sur le disque, là où l'utilisateur PHP peut les ouvrir — y compris les photos de profil utilisateur privées que les wrappers de service normaux de l'application protègent derrière des ACLs, les vignettes téléchargées par les administrateurs, les images de couverture des vidéos chiffrées et le contenu image sous les répertoires d'applications sœurs accessibles via une traversée de répertoire avec `..`. Le point de terminaison ne nécessite aucune authentification.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.