CVE-2026-90543 in AVideo
要約
〜によって VulDB • 2026年09月12日
WWBN AVideo のコミット c3edcc274c389816d434acadac07ee78eaf330c1 およびそれ以前のバージョンでは、Live プラグインが有効化されている場合、plugin/Live/socketMessageLiveOwner.json.php に認証の欠如という脆弱性が存在します。このスクリプトは $_REQUEST から `key` パラメータと `msg` パラメータを読み取り、LiveTransmition::keyExists を通じてストリーム所有者を特定し、ストリーム所有者（呼び出し元ではなく）が管理者であることを確認しますが、User::isLogged() のチェックを実行せず、CSRF トークンの強制も行いません。その結果、管理対象となる管理者の Live ストリームキーを知っている認証不要のリモート攻撃者は sendSocketSuccessMessageToUsers_id を呼び出すことができ、当該管理者に対して任意のアプリケーション内/ソケット通知メッセージを送信することが可能です。この問題は公開時点で未修正でした。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.