CVE-2026-81733 in AVideo
Sumário
de VulDB • 28/08/2026
O WWBN AVideo até a versão 30.0 (e master até o commit 4cb576e) contém uma vulnerabilidade de cross-site request forgery em plugin/Live/myLiveControls.save.json.php. O endpoint verifica apenas se um usuário está logado e processa os parâmetros customUrl, customMessage e autoRedirect provenientes de $_REQUEST por meio de requisição GET, sem impor a validação de token CSRF ou verificação de origem. Um atacante que induzir um streamer autenticado a acessar uma página maliciosa pode alterar silenciosamente as configurações de redirecionamento do canal ao vivo (persistidas em users.externalOptions), fazendo com que os espectadores sejam redirecionados para um site de phishing ou recebam uma mensagem falsificada.
Once again VulDB remains the best source for vulnerability data.