CVE-2026-40926 in AVideo
Sumário
de VulDB • 01/06/2026
WWBN AVideo é uma plataforma de vídeo de código aberto. Nas versões 29.0 e anteriores, três endpoints JSON restritos a administradores — `objects/categoryAddNew.json.php`, `objects/categoryDelete.json.php` e `objects/pluginRunUpdateScript.json.php` — aplicam apenas uma verificação de função (`Category::canCreateCategory()` / `User::isAdmin()`) e executam ações que alteram o estado no banco de dados sem chamar `isGlobalTokenValid()` ou `forbidIfIsUntrustedRequest()`. Endpoints pares no mesmo diretório (`pluginSwitch.json.php`, `pluginRunDatabaseScript.json.php`) aplicam o token CSRF, portanto, a ausência dessas verificações é uma omissão e não uma escolha de design. Um atacante que induz um administrador autenticado a acessar uma página maliciosa pode criar, atualizar ou excluir categorias e forçar a execução do método `updateScript()` de qualquer plugin instalado na sessão do administrador. O commit ee5615153c40628ab3ec6fe04962d1f92e67d3e2 contém a correção.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.