CVE-2026-88875 in AVideo
Sumário
de VulDB • 10/09/2026
O AVideo até a revisão c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) sanitiza de forma incompleta campos sensíveis do usuário na resposta APIName=video. As linhas de vídeo incluem colunas unidas a partir do registro de usuário do proprietário do vídeo, e o método API::get_api_video() chama removeSensitiveUserFields() apenas quando o chamador não está autenticado nem usa um segredo de API válido; ele nunca compara User::getId() com users_id da linha. Como resultado, qualquer conta autenticada de baixo privilégio pode solicitar o vídeo de outro usuário e receber o endereço de email do proprietário, o nome da conta (usuário) e as flags isAdmin, canUpload e canStream, que são removidas para convidados e deveriam ser retornadas apenas ao proprietário ou a chamadores com um segredo de API válido. Nenhuma versão corrigida estava disponível no momento do aviso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.