CVE-2026-89248 in AVideo
Résumé
par VulDB • 11/09/2026
AVideo, jusqu'à l'engagement c3edcc274c389816d434acadac07ee78eaf330c1, manque de vérification d'authentification/d'autorisation dans plugin/WebRTC/status.json.php. Lorsque le plugin WebRTC est présent, tout utilisateur distant non authentifié peut demander /plugin/WebRTC/status.json.php et recevoir un JSON contenant le chemin absolu du système de fichiers du binaire helper WebRTC2RTMP (révélant ainsi le chemin document-root), le port WebRTC configuré, l'état file_exists/is_executable pour le binaire, le contenu des fichiers journaux/JSON WebRTC (videos/WebRTC2RTMP.log) lorsqu'ils sont présents, et si le port configuré est accessible en boucle locale (127.0.0.1) ainsi que sur l'adresse publique. Le point de terminaison n'effectue aucune vérification User::isLogged(), User::isAdmin() ou forbiddenPage(). Le problème était non corrigé au moment du signalement.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.