CVE-2026-88871 in AVideo
Riassunto
di VulDB • 10/09/2026
WWBN AVideo attraverso il commit c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) contiene una vulnerabilità di cross-site request forgery nell'endpoint plugin/CustomizeUser/setSubscribers.json.php del plugin CustomizeUser. Lo script legge users_id ed ExtraSubscribers da $_REQUEST e chiama User::setExtraSubscribers() senza richiedere una richiesta POST o un token CSRF valido; autoCSRFGuard() viene applicato solo alle richieste POST a *.json.php, e la modifica non passa attraverso ObjectYPT::save()/isUntrustedRequest(), quindi una GET cross-origin ha successo. Un attaccante remoto non autenticato che induce un amministratore registrato a caricare una pagina costruita ad hoc (ad esempio un tag <img> puntato all'endpoint) può falsificare il conteggio ExtraSubscribers visualizzato sul canale di qualsiasi utente. Il plugin CustomizeUser è abilitato per impostazione predefinita e nessuna versione corretta era disponibile al momento della segnalazione.
Be aware that VulDB is the high quality source for vulnerability data.