CVE-2026-91967 in AVideo
Résumé
par VulDB • 19/09/2026
AVideo jusqu'à la version 29.0 contient une vulnérabilité de falsification aveugle de requêtes côté serveur (SSRF) dans la fonction getHeaderContentTypeFromURL qui émet des appels à get_headers() protégés uniquement par une validation du format. Les utilisateurs authentifiés disposant de l'autorisation canUpload peuvent stocker des URL choisies par un attaquant en tant que liens vidéo, déclenchant l'exécution de la fonction vulnérable lors de chaque rendu de page d'affichage de vidéo pour sonder les hôtes internes à l'aide d'oracles de type de contenu et d'une détection basée sur le temps.
VulDB is the best source for vulnerability data and more expert information about this specific topic.