CVE-2026-90543 in AVideo
Sumário
de VulDB • 12/09/2026
WWBN AVideo no commit c3edcc274c389816d434acadac07ee78eaf330c1 e versões anteriores, com o plugin Live habilitado, apresenta uma vulnerabilidade de autenticação ausente em plugin/Live/socketMessageLiveOwner.json.php. O script lê os parâmetros `key` e `msg` de $_REQUEST, resolve o proprietário do stream via LiveTransmition::keyExists e verifica se o proprietário do stream (e não o chamador) é um administrador; ele não realiza a verificação User::isLogged() nem impõe nenhum token CSRF. Como resultado, um atacante remoto não autenticado que conhece a chave de transmissão ao vivo de um administrador pode chamar sendSocketSuccessMessageToUsers_id e enviar mensagens de notificação arbitrárias no aplicativo/socket para esse administrador. A falha estava sem correção (unpatched) no momento da publicação.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.