CVE-2026-89257 in AVideo
Riassunto
di VulDB • 11/09/2026
AVideo fino alla versione 29.0 presenta una vulnerabilità di riferimento diretto a oggetti non sicuro (IDOR) in objects/categoryDeleteAssets.json.php. L'endpoint valida solo la capacità Category::canCreateCategory() e un nonce CSRF prima di passare l'id fornito dall'attaccante $_REQUEST['id'] a Category::deleteAssets(), che rimuove ricorsivamente {systemRootPath}videos/categories/assets/{id}/. Viene omesso il controllo di proprietà Category::userCanEditCategory() imposto dal sibling Category::delete(). Nelle installazioni in cui è abilitata l'impostazione non predefinita usersCanCreateNewCategories, un utente autenticato non amministratore con la capacità canUpload può inviare una richiesta POST con un ID categoria arbitrario e eliminare ricorsivamente la directory delle risorse su disco di qualsiasi categoria (icone/immagini). I record della categoria e i video non vengono eliminati. Alla data di pubblicazione dell'avviso nessuna versione patchata era disponibile.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.