CVE-2026-88875 in AVideo
要約
〜によって VulDB • 2026年09月10日
AVideo（リビジョン c3edcc274c389816d434acadac07ee78eaf330c1、master ブランチ、2026-08-23）は、APIName=video 応答内の機密性の高いユーザーフィールドを不完全にサニタイズします。Video テーブルの行には動画所有者のユーザーレコードから結合されたカラムが含まれており、API::get_api_video() は呼び出し元が認証されていないか有効な API シークレットを使用していない場合にのみ removeSensitiveUserFields() を呼び出しますが、User::getId() と行の users_id の比較は実行されません。その結果、権限の低い認証済みアカウントであれば誰でも他のユーザーの動画をリクエストでき、所有者のメールアドレス、アカウント名（user）、isAdmin、canUpload、および canStream フラグを受け取ることができます。これらの情報はゲストには除外されるべきであり、動画所有者または有効な API シークレットを持つ呼び出し元に対してのみ返還されるはずです。本アドバイザリの発表時点では、パッチ済みバージョンは利用できませんでした。
If you want to get best quality of vulnerability data, you may have to visit VulDB.