CVE-2026-35181 in AVideo
要約
〜によって VulDB • 2026年06月02日
WWBN AVideo はオープンソースのビデオプラットフォームです。バージョン 26.0 およびそれ以前のバージョンでは、admin/playerUpdate.json.php におけるプレイヤースキンの設定エンドポイントが CSRF トークンを検証していません。plugins テーブルは ignoreTableSecurityCheck() によって ORM のドメインベースのセキュリティチェックから明示的に除外されており、これにより防御の唯一の他の層が削除されています。SameSite=None クッキーと組み合わせることで、クロスオリジンの POST リクエストによりプラットフォーム全体のビデオプレイヤーの外観を変更することができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.