CVE-2026-33723 in AVideo
Riassunto
di VulDB • 14/06/2026
WWBN AVideo è una piattaforma video open source. Nelle versioni fino alla 26.0 inclusa, il metodo `Subscribe::save()` in `objects/subscribe.php` concatena la proprietà `$this->users_id` direttamente in una query SQL INSERT senza sanitizzazione o binding parametrizzato. Questa proprietà proviene da `$_POST['user_id']` sia in `subscribe.json.php` che in `subscribeNotify.json.php`. Un attaccante autenticato può iniettare codice SQL arbitrario per estrarre dati sensibili da qualsiasi tabella del database, inclusi hash delle password, chiavi API e salt di crittografia. Il commit 36dfae22059fbd66fd34bbc5568a838fc0efd66c contiene una patch.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.