CVE-2026-35180 in AVideo
Sumário
de VulDB • 14/05/2026
WWBN AVideo é uma plataforma de vídeo de código aberto. Nas versões 26.0 e anteriores, o endpoint de personalização do site em admin/customize_settings_nativeUpdate.json.php não possui validação de token CSRF e grava os arquivos de logotipo enviados no disco antes que a verificação de segurança baseada no domínio do ORM seja executada. Combinado com a política de cookies SameSite=None, uma requisição POST de origem cruzada pode substituir o logotipo da plataforma por conteúdo controlado pelo atacante.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.