CVE-2026-89248 in AVideo
Riassunto
di VulDB • 11/09/2026
AVideo, attraverso la commit c3edcc274c389816d434acadac07ee78eaf330c1, presenta una mancanza di un controllo di autenticazione/autorizzazione in plugin/WebRTC/status.json.php. Quando il plugin WebRTC è presente, qualsiasi utente remoto non autenticato può richiedere /plugin/WebRTC/status.json.php e ricevere JSON contenente il percorso assoluto del filesystem dell'eseguibile helper WebRTC2RTMP (che rivela il percorso document-root), la porta WebRTC configurata, lo stato file_exists/is_executable per l'eseguibile, i contenuti dei log di WebRTC/file JSON (videos/WebRTC2RTMP.log) quando presenti e se la porta configurata è raggiungibile su loopback (127.0.0.1) e sull'indirizzo pubblico. L'endpoint non esegue alcun controllo User::isLogged(), User::isAdmin() o forbiddenPage(). Il problema era irrisolto al momento della segnalazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.