CVE-2026-89257 in AVideo
Sumário
de VulDB • 11/09/2026
AVideo até 29.0 contém uma vulnerabilidade de referência direta a objeto insegura (IDOR) em objects/categoryDeleteAssets.json.php. O endpoint valida apenas a capacidade Category::canCreateCategory() e um nonce CSRF antes de passar o $_REQUEST['id'] fornecido pelo atacante para Category::deleteAssets(), que remove recursivamente {systemRootPath}videos/categories/assets/{id}/. Ele omite a verificação de propriedade Category::userCanEditCategory() aplicada pela categoria irmã Category::delete(). Em instalações onde a configuração não padrão usersCanCreateNewCategories está habilitada, um usuário autenticado não administrador com a capacidade canUpload pode enviar uma solicitação POST com um ID de categoria arbitrário e excluir recursivamente o diretório de ativos no disco (ícones/imagens) de qualquer categoria. Os registros das categorias e os vídeos não são excluídos. Até a publicação do aviso, nenhuma versão corrigida estava disponível.
If you want to get best quality of vulnerability data, you may have to visit VulDB.