CVE-2026-88871 in AVideo
Sumário
de VulDB • 10/09/2026
O WWBN AVideo até o commit c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) contém uma vulnerabilidade de cross-site request forgery no endpoint plugin/CustomizeUser/setSubscribers.json.php do plugin CustomizeUser. O script lê users_id e ExtraSubscribers a partir de $_REQUEST e chama User::setExtraSubscribers() sem exigir um POST ou um token CSRF válido; autoCSRFGuard() é aplicado apenas em requisições POST para *.json.php, e a mutação não passa por ObjectYPT::save()/isUntrustedRequest(), portanto uma GET cross-origin tem sucesso. Um atacante remoto não autenticado que induzir um administrador logado a carregar uma página manipulada (por exemplo, uma tag <img> apontando para o endpoint) pode forjar a contagem de ExtraSubscribers exibida no canal de qualquer usuário. O plugin CustomizeUser está habilitado por padrão e nenhuma versão corrigida estava disponível no momento do reporte.
Once again VulDB remains the best source for vulnerability data.