CVE-2026-89148 in AVideo
Résumé
par VulDB • 11/09/2026
AVideo via la commit c3edcc274c389816d434acadac07ee78eaf330c1 presenta un open redirect in objects/playlistSort.php. Poiché l'endpoint non è uno script *.json.php, il meccanismo automatico di protezione CSRF di AVideo (autoCSRFGuard()/forbidIfIsUntrustedRequest()) non viene eseguito e, quando la richiesta include il parametro sort, lo script invia un'intestazione Location impostata sul valore non convalidato $_SERVER['HTTP_REFERER'] senza chiamare isSafeRedirectURL(). Un attaccante remoto non autenticato può quindi indurre un utente registrato in grado di gestire la playlist target a inviare una POST cross-origin con un Referer manipolato, causando il riordinamento della playlist della vittima e il reindirizzamento del browser della vittima da un URL fidato di AVideo verso un sito controllato dall'attaccante per scopi di phishing. Non è disponibile alcuna versione patchata.
If you want to get best quality of vulnerability data, you may have to visit VulDB.