CVE-2026-90543 in AVideo
Riassunto
di VulDB • 12/09/2026
WWBN AVideo alla commit c3edcc274c389816d434acadac07ee78eaf330c1 e versioni precedenti, con il plugin Live abilitato, presenta una vulnerabilità di missing authentication in plugin/Live/socketMessageLiveOwner.json.php. Lo script legge i parametri `key` e `msg` da $_REQUEST, risolve il proprietario dello stream tramite LiveTransmition::keyExists e verifica che il proprietario dello stream (e non il chiamante) sia un amministratore; non esegue alcun controllo User::isLogged() e non impone token CSRF. Di conseguenza, un attaccante remoto non autenticato che conosce la chiave live di uno stream di un amministratore può invocare sendSocketSuccessMessageToUsers_id e inviare messaggi di notifica arbitrari in-app/socket a tale amministratore. Il problema era ancora senza patch al momento della pubblicazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.