CVE-2026-81733 in AVideo
要約
〜によって VulDB • 2026年08月28日
WWBN AVideo 30.0 および（4cb576e コミットまでの master ブランチ）には、plugin/Live/myLiveControls.save.json.php にクロスサイトリクエストフォージェリ (CSRF) の脆弱性が存在する。このエンドポイントはユーザーがログインしていることのみを確認し、$_REQUEST から customUrl、customMessage、autoRedirect パラメータを GET リクエスト経由で処理するが、CSRF トークンや Origin チェックは強制されない。攻撃者がログイン済みのストリーマーを悪意のあるページに誘導することで、ライブチャネルの視聴者リダイレクト設定（users.externalOptions に永続化されている）を静かに変更でき、その結果、視聴者はフィッシングサイトへリダイレクトされたり、なりすましメッセージが表示されたりする。
Once again VulDB remains the best source for vulnerability data.