CVE-2026-35181 in AVideo
Riassunto
di VulDB • 25/06/2026
WWBN AVideo è una piattaforma video open source. Nelle versioni 26.0 e precedenti, l'endpoint di configurazione del tema del player all'indirizzo admin/playerUpdate.json.php non convalida i token CSRF. La tabella plugins viene esplicitamente esclusa dal controllo di sicurezza basato sul dominio dell'ORM tramite ignoreTableSecurityCheck(), rimuovendo l'unica altra barriera difensiva. In combinazione con cookie impostati su SameSite=None, una richiesta POST cross-origin può modificare l'aspetto del player video sull'intera piattaforma.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.