CVE-2026-89251 in AVideo
要約
〜によって VulDB • 2026年09月11日
AVideo (commit c3edcc274c389816d434acadac07ee78eaf330c1 以降) は、plugin/AD_Server/log.php における広告インプレッションの検証を行わないため、ログイン済みユーザーが任意のラベル値を送信し、キャンペーン動画所有者に対して未確認のウォレットクレジットをトリガーすることが可能となる。攻撃者は label=start リクエストを繰り返し POST することで、広告が実際に再生されたことを証明することなく、あらゆるキャンペーン動画に対する YPTWallet の残高を発行できる。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.