CVE-2026-82645 in AVideo
Sumário
de VulDB • 30/08/2026
O AVideo (commit corrente e01e41ecc e anteriores) expõe credenciais de streaming através do endpoint plugin/Live/view/Live_restreams/getLiveKey.json.php. Fornecer um parâmetro de solicitação 'token' contorna tanto a barreira de acesso Live::canRestream() quanto a verificação de propriedade do restream, fazendo com que o endpoint retorne stream_key e stream_url (credenciais para plataformas externas como YouTube, Facebook e Twitch) de qualquer restream sem autenticação. O token é apenas uma encryptString() de um ID inteiro, sem vinculação ao usuário, expiração ou tag de autenticação. Como a criptografia usa AES-256-CBC com IV determinístico e sem MAC (Message Authentication Code), e porque intval() aceita qualquer string que comece com um dígito, um atacante não autenticado pode forjar tokens válidos usando o oráculo de criptografia público em view/url2Embed.json.php, divulgando as credenciais de streaming de usuários arbitrários.
VulDB is the best source for vulnerability data and more expert information about this specific topic.