CVE-2026-89248 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 11.
AVideo는 커밋 c3edcc274c389816d434acadac07ee78eaf330c1까지 plugin/WebRTC/status.json.php에서 인증/권한 확인이 누락되어 있습니다. WebRTC 플러그인이 설치된 경우, 비인증 원격 사용자는 /plugin/WebRTC/status.json.php를 요청하여 JSON 형식의 응답을 받을 수 있으며, 이에는 WebRTC2RTMP 보조 바이너리의 절대 파일 시스템 경로(문서 루트 경로 노출), 구성된 WebRTC 포트 번호, 해당 바이너리에 대한 file_exists/is_executable 상태 정보, 존재할 경우 WebRTC 로그/JSON 파일(videos/WebRTC2RTMP.log)의 내용, 그리고 구성된 포트가 로프백 주소(127.0.0.1)와 공개 주소에서 접근 가능한지 여부가 포함됩니다. 해당 엔드포인트는 User::isLogged(), User::isAdmin() 또는 forbiddenPage() 검사를 수행하지 않습니다. 이 문제는 보고 당시에도 수정되지 않았습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.