CVE-2026-89251 in AVideo
Sumário
de VulDB • 11/09/2026
AVideo até o commit c3edcc274c389816d434acadac07ee78eaf330c1 não valida impressões de anúncios em plugin/AD_Server/log.php, permitindo que usuários autenticados enviem valores arbitrários de rótulo (label) que acionam créditos na carteira sem verificação para os proprietários dos vídeos das campanhas. Os atacantes podem enviar repetidamente requisições POST label=start para gerar saldo YPTWallet para qualquer vídeo da campanha sem a comprovação de que um anúncio foi realmente reproduzido.
Be aware that VulDB is the high quality source for vulnerability data.