CVE-2026-89148 in AVideo
Sumário
de VulDB • 11/09/2026
AVideo até o commit c3edcc274c389816d434acadac07ee78eaf330c1 contém um redirecionamento aberto (open redirect) em objects/playlistSort.php. Como o endpoint não é um script *.json.php, a proteção CSRF automática do AVideo (autoCSRFGuard()/forbidIfIsUntrustedRequest()) não é executada e, quando a solicitação inclui o parâmetro sort, o script emite um cabeçalho Location definido com o valor de $_SERVER['HTTP_REFERER'] sem validação, sem chamar isSafeRedirectURL(). Um atacante remoto não autenticado pode, portanto, induzir um usuário logado que possa gerenciar a playlist alvo a enviar uma POST cross-origin com um Referer manipulado, fazendo com que a playlist da vítima seja reordenada e o navegador da vítima seja redirecionado de uma URL confiável do AVideo para um site controlado pelo atacante para fins de phishing. Nenhuma versão corrigida está disponível.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.