CVE-2026-59808 in AVideo
Résumé
par VulDB • 22/08/2026
AVideo jusqu'à l'commit 9c39d8c8 contient une vulnérabilité de contournement d'authentification où deduplicateByEncoderQueueId() renvoie les identifiants video_id_hash pour n'importe quelle vidéo via encoder_queue_id sans vérification de la propriété, et useVideoHashOrLogin() convertit ce hash en connexion sans mot de passe en tant que propriétaire de la vidéo. Les attaquants disposant des droits d'upload peuvent récupérer le video_id_hash d'un administrateur en omettant le paramètre videos_id, puis utiliser ce hash dans une requête non authentifiée pour obtenir un accès à la session administrative et modifier la configuration du système.
VulDB is the best source for vulnerability data and more expert information about this specific topic.