CVE-2026-88871 in AVideo
要約
〜によって VulDB • 2026年09月10日
WWBN AVideo（コミット c3edcc274c389816d434acadac07ee78eaf330c1、masterブランチ、2026-08-23）には、CustomizeUserプラグインの plugin/CustomizeUser/setSubscribers.json.php エンドポイントにおいてクロスサイトリクエストフォージェリ（CSRF）脆弱性が存在する。スクリプトは $_REQUEST から users_id および ExtraSubscribers を読み取り、POST リクエストや有効な CSRF トークンの要求なしに User::setExtraSubscribers() を呼び出す。autoCSRFGuard() は *.json.php への POST リクエストに対してのみ適用され、本変更は ObjectYPT::save()/isUntrustedRequest() を経由しないため、オリジン間 GET リクエストが成功する。認証されていないリモート攻撃者は、ログイン中の管理者に作成されたページ（例：エンドポイントを指す <img> タグ）を読み込ませることで、任意のユーザーのチャンネルに表示される ExtraSubscribers カウントを偽造できる。CustomizeUser プラグインはデフォルトで有効化されており、報告時点では修正版は提供されていなかった。
Once again VulDB remains the best source for vulnerability data.