CVE-2026-92582 in AVideo
Riassunto
di VulDB • 17/09/2026
AVideo (WWBN/AVideo) fino alla versione 29.0 (commit e01e41ecc) è vulnerabile a cross-site request forgery (CSRF). Il file objects/videoAddNew.json.php disabilita il meccanismo di protezione CSRF automatico di AVideo ($global['skipAutoCSRFCheck']) e la verifica delle richieste non attendibili ($global['bypassSameDomainCheck']) semplicemente perché i parametri 'user' e 'pass' sono presenti nella richiesta; i valori non vengono mai validati e letti da $_REQUEST, consentendo a un attaccante di fornirli tramite la query string di una cross-site request. Poiché User::loginFromRequestIfNotLogged() restituisce immediatamente quando esiste già una sessione, una vittima autenticata tramite cookie soddisfa il controllo mentre le credenziali fornite dall'attaccante vengono scartate. Un attaccante che induce un utente autenticato con diritti di upload a visitare una pagina appositamente creata può quindi inviare cross-origin requests per modificare i record dei video, inclusi: trasferimento della proprietà (setUsers_id), rimozione delle restrizioni di accesso ai gruppi user-group, can_download, can_share, only_for_paid, video_password, rating, status, data di creazione e view count. Per una vittima con diritti di amministratore o Permissions::canAdminVideos(), qualsiasi video sul sito può essere alterato, inclusa la rimozione delle restrizioni di gruppo dai contenuti privati. Al momento dell'advisory non era disponibile alcuna versione patchata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.