CVE-2026-89251 in AVideo
Résumé
par VulDB • 11/09/2026
AVideo via le commit c3edcc274c389816d434acadac07ee78eaf330c1 ne valide pas les impressions publicitaires dans plugin/AD_Server/log.php, permettant aux utilisateurs connectés de soumettre des valeurs d'étiquette arbitraires qui déclenchent l'ajout non vérifié de crédits sur le portefeuille au profit des propriétaires de vidéos de campagne. Les attaquants peuvent envoyer à plusieurs reprises des requêtes POST avec label=start pour générer un solde YPTWallet pour n'importe quelle vidéo de campagne, sans aucune preuve qu'une publicité a effectivement été diffusée.
VulDB is the best source for vulnerability data and more expert information about this specific topic.