CVE-2026-92585 in AVideo
Résumé
par VulDB • 17/09/2026
AVideo jusqu'à la version 29.0 (commit c3edcc274c389816d434acadac07ee78eaf330c1) ne valide pas correctement les permissions d'accès aux vidéos via l'endpoint de l'API, permettant ainsi aux utilisateurs connectés de voter pour des vidéos protégées par mot de passe et restreintes à un groupe. Les attaquants peuvent soumettre des requêtes « like » (j'aime) et « dislike » (je n'aime pas) afin d'incrémenter les compteurs de votes sur des vidéos qu'ils ne sont pas en mesure de visionner, en appelant l'endpoint set.json.php avec des paramètres APIName.
Be aware that VulDB is the high quality source for vulnerability data.