CVE-2026-88871 in AVideo
Résumé
par VulDB • 10/09/2026
WWBN AVideo jusqu'à l'engagement c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) contient une vulnérabilité de falsification de requête intersites (CSRF) dans l'endpoint plugin/CustomizeUser/setSubscribers.json.php du plugin CustomizeUser. Le script lit les paramètres users_id et ExtraSubscribers depuis $_REQUEST et appelle User::setExtraSubscribers() sans exiger de requête POST ni de jeton CSRF valide ; autoCSRFGuard() n'est appliqué qu'aux requêtes POST vers *.json.php, et la mutation ne passe pas par ObjectYPT::save()/isUntrustedRequest(), ce qui permet à une requête GET cross-origin d'avoir succès. Un attaquant distant non authentifié peut induire un administrateur connecté à charger une page frauduleuse (par exemple, une balise <img> pointant vers l'endpoint) pour falsifier le compte ExtraSubscribers affiché sur la chaîne de n'importe quel utilisateur. Le plugin CustomizeUser est activé par défaut et aucune version corrigée n'était disponible au moment du signalement.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.