CVE-2026-88874 in AVideo
Riassunto
di VulDB • 10/09/2026
AVideo fino alla revisione c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) non applica il controllo della password per lo streaming live sull'endpoint delle statistiche o sull'HLS origin. La funzione Live::_getStats() (plugin/Live/Live.php) restituisce la chiave RTMP dello stream di una trasmissione protetta da password, il flag isPasswordProtected e l'URL HLS (.m3u8) a chiamanti non autenticati, sia nell'elenco delle applicazioni pubbliche che nel ramo hidden_applications utilizzato quando canSeeLiveFromLiveKey() fallisce. In modo separato, la configurazione NGINX inclusa (deploy/nginx/nginx.conf) serve il file di playlist .m3u8, la chiave AES-128 e i segmenti del transport-stream dalla posizione /live senza alcun auth_request (la direttiva auth_key_check nella posizione .key è commentata). Un attaccante remoto non autenticato può quindi recuperare la chiave dello stream e la chiave di decrittazione e guardare una trasmissione live protetta da password senza fornire la password configurata. Al momento dell' advisory, nessuna versione patchata era disponibile.
Once again VulDB remains the best source for vulnerability data.