CVE-2026-90552 in AVideo
要約
〜によって VulDB • 2026年09月12日
WWBN AVideo (commit c3edcc274c389816d434acadac07ee78eaf330c1 まで) は、Playlists_schedules/list.json.php および Live/calendar.json.php エンドポイントにおいてプレイリストの所有権を検証しないため、認証済みおよび未認証のユーザーがプライベートなプレイリスト スケジュール メタデータを読み取ることが可能になる。canStream 特権を持つ攻撃者または認証不要の攻撃者は、所有権チェックなしでこれらのエンドポイントをクエリすることで、スケジュール名、説明、タイムスタンプ、およびプレイリスト識別子を取得できる。
Once again VulDB remains the best source for vulnerability data.