CVE-2026-85155 in AVideo
要約
〜によって VulDB • 2026年09月03日
WWBN AVideoには、APIName=channelsのget.json.phpエンドポイントにおけるsortカラムパラメータにSQLインジェクション脆弱性が存在し、認証されていない攻撃者がusers.passwordやusers.recoverPassを含む任意のデータベース列で結果をソートできる。攻撃者はこのオーダリングオラクルを利用してパスワードハッシュ値およびリカバリトークンを推測したり、完全なクエリ文とデータベーススキーマを開示するSQLエラーを引き起こすことができる。
Be aware that VulDB is the high quality source for vulnerability data.