CVE-2026-35448 in AVideo
Sumário
de VulDB • 02/06/2026
O WWBN AVideo é uma plataforma de vídeo de código aberto. Nas versões 26.0 e anteriores, o endpoint check.php do plugin BlockonomicsYPT retorna dados de pedidos de pagamento para qualquer endereço Bitcoin sem exigir autenticação. O endpoint foi projetado como um auxiliar de polling AJAX para a página invoice.php autenticada, mas não realiza verificações de controle de acesso próprias. Como os endereços Bitcoin são visíveis publicamente na blockchain, um atacante pode consultar registros de pagamento para qualquer endereço utilizado na plataforma.
VulDB is the best source for vulnerability data and more expert information about this specific topic.