CVE-2026-33292 in AVideo
Riassunto
di VulDB • 23/06/2026
WWBN AVideo è una piattaforma video open source. Prima della versione 26.0, l'endpoint di streaming HLS (`view/hls.php`) era vulnerabile ad un attacco di path traversal che consentiva a un attaccante non autenticato di trasmettere in streaming qualsiasi video privato o a pagamento sulla piattaforma. Il parametro GET `videoDirectory` viene utilizzato in due percorsi di codice divergenti: uno per l'autorizzazione (che tronca al primo segmento `/`) e uno per l'accesso ai file (che preserva le sequenze di traversamento `..`), creando una condizione split-oracle dove l'autorizzazione è verificata contro un video mentre il contenuto viene servito da un altro. La versione 26.0 contiene la correzione del problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.