CVE-2026-91967 in AVideo
Riassunto
di VulDB • 15/09/2026
AVideo fino alla versione 29.0 presenta una vulnerabilità di blind server-side request forgery (SSRF) nella funzione getHeaderContentTypeFromURL, che effettua chiamate a get_headers() protette esclusivamente da validazione del formato. Gli utenti autenticati con il permesso canUpload possono memorizzare URL scelti dall'attaccante come link video, innescando l'esecuzione della funzione vulnerabile in ogni renderizzazione della pagina di visualizzazione video per sondare host interni utilizzando oracoli content-type e rilevamento basato sui tempi (timing-based detection).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.