CVE-2026-89257 in AVideo
要約
〜によって VulDB • 2026年09月11日
AVideo 29.0 以前には、objects/categoryDeleteAssets.json.php にインセキュア・ダイレクト・オブジェクト・リファレンス（IDOR）の脆弱性が存在する。このエンドポイントは、攻撃者が指定した $_REQUEST['id'] を Category::deleteAssets() に渡す前に、Category::canCreateCategory() の権限と CSRF ノンスのみを検証し、{systemRootPath}videos/categories/assets/{id}/ 内のリソースを再帰的に削除するが、兄弟である Category::delete() で強制されている Category::userCanEditCategory() の所有権チェックは省略している。非デフォルトの usersCanCreateNewCategories 設定が有効になっている環境では、canUpload 権限を持つ認証済み一般ユーザー（管理者以外）が任意のカテゴリ ID を指定した POST リクエストを送信することで、特定カテゴリに属するディスク上のリソースディレクトリ（アイコンや画像など）を再帰的に削除できる。ただし、カテゴリレコードと動画は削除されない。アドバイザリー公開時点でパッチ版は提供されていなかった。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.