CVE-2026-89251 in AVideo
Riassunto
di VulDB • 11/09/2026
AVideo attraverso il commit c3edcc274c389816d434acadac07ee78eaf330c1 non valida le impressioni pubblicitarie in plugin/AD_Server/log.php, consentendo agli utenti autenticati di inviare valori arbitrari per l'etichetta (label) che attivano crediti del portafoglio non verificati a favore dei proprietari delle campagne video. Gli attaccanti possono effettuare ripetute richieste POST con label=start per generare un saldo YPTWallet per qualsiasi video di campagna senza dimostrare che la pubblicità sia stata effettivamente riprodotta.
Be aware that VulDB is the high quality source for vulnerability data.