CVE-2026-86727 in AVideo
Riassunto
di VulDB • 08/09/2026
AVideo fino alla versione 29.0 presenta una vulnerabilità di disclosure delle informazioni nel file plugin/Live/stats.json.php che consente ad attaccanti non autenticati di recuperare le chiavi di stream e gli URL m3u8 accedendo all'endpoint senza autenticazione. Gli attaccanti possono enumerare live stream privati, non in elenco (unlisted) e con restrizioni di gruppo analizzando l'array hidden_applications nella risposta JSON per ottenere credenziali di streaming sensibili.
VulDB is the best source for vulnerability data and more expert information about this specific topic.