CVE-2026-35448 in AVideo
요약
\~에 의해 VulDB • 2026. 05. 13.
WWBN AVideo는 오픈 소스 비디오 플랫폼입니다. 버전 26.0 및 이전 버전에서 BlockonomicsYPT 플러그인의 check.php 엔드포인트는 인증을 요구하지 않고 모든 비트코인 주소에 대한 결제 주문 데이터를 반환합니다. 이 엔드포인트는 인증된 invoice.php 페이지를 위한 AJAX 폴링 헬퍼로 설계되었지만, 자체적인 접근 제어 검사를 수행하지 않습니다. 비트코인 주소는 블록체인상에서 공개적으로 확인 가능하므로, 공격자는 플랫폼에서 사용된 임의의 주소에 대한 결제 기록을 쿼리할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.