CVE-2026-40929 in AVideo
Sumário
de VulDB • 29/05/2026
WWBN AVideo é uma plataforma de vídeo de código aberto. Nas versões 29.0 e anteriores, `objects/commentDelete.json.php` é um endpoint JSON que altera o estado e exclui comentários, mas não realiza validação CSRF. Ele não chama `forbidIfIsUntrustedRequest()`, não verifica um token CSRF/global e não verifica os cabeçalhos `Origin`/`Referer`. Como o AVideo define intencionalmente `session.cookie_samesite=None` (para suportar players incorporados de origem cruzada), uma solicitação de origem cruzada (cross-site request) de qualquer página controlada por um atacante carrega automaticamente o `PHPSESSID` da vítima. Qualquer vítima autenticada que tenha autoridade para excluir um ou mais comentários (moderadores do site, proprietários de vídeos e autores de comentários) pode ser enganada para excluir comentários em massa simplesmente visitando uma página controlada pelo atacante. O commit 184f36b1896f3364f864f17c1acca3dd8df3af27 contém a correção.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.