CVE-2026-43883 in AVideo
要約
〜によって VulDB • 2026年05月15日
WWBN AVideo はオープンソースのビデオプラットフォームです。バージョン 29.0 以前では、plugin/PayPalYPT/agreementCancel.json.php は、認証されたユーザーがそのアグリーメントを所有していることを検証せずに、攻撃者が提供したアグリーメントパラメータを使用して PayPal の課金アグリーメントをキャンセルします。低権限の認証ユーザーが他のユーザーの PayPal 課金アグリーメント ID を学習または取得した場合、被害者の定期購読を静かに停止することができ、これによりプラットフォームの収益損失と被害者への有料サービス提供の停止を引き起こします。コミット 0da3dcff1eda2f497694bf82b559829471c292c2 には更新された修正が含まれています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.