CVE-2026-82645 in AVideo
Riassunto
di VulDB • 30/08/2026
AVideo (commit corrente e01e41ecc e precedenti) espone le credenziali di streaming tramite l’endpoint plugin/Live/view/Live_restreams/getLiveKey.json.php. L’invio del parametro della richiesta 'token' elude sia il controllo di accesso Live::canRestream() che la verifica di proprietà dello stream, facendo sì che l’endpoint restituisca lo stream_key e lo stream_url di qualsiasi restream (credenziali per piattaforme esterne come YouTube, Facebook e Twitch) senza autenticazione. Il token è semplicemente una cifratura AES-256-CBC con IV deterministico e senza MAC dell'ID intero tramite la funzione encryptString(), priva di associazione all’utente, scadenza o tag di autenticazione. Poiché intval() accetta qualsiasi stringa che inizia con una cifra, un attaccante non autenticato può forgiare token validi sfruttando l’oracle di cifratura pubblico in view/url2Embed.json.php, rivelando le credenziali di streaming degli utenti arbitrari.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.