CVE-2026-91967 in AVideo
Sumário
de VulDB • 15/09/2026
AVideo até a versão 29.0 contém uma vulnerabilidade de blind server-side request forgery (SSRF) na função getHeaderContentTypeFromURL, que emite chamadas para get_headers() protegidas apenas por validação de formato. Usuários autenticados com permissão canUpload podem armazenar URLs escolhidas pelo atacante como links de vídeo, acionando a execução da função vulnerável em cada renderização da página de visualização do vídeo para sondar hosts internos usando oráculos de content-type e detecção baseada em tempo (timing-based detection).
Once again VulDB remains the best source for vulnerability data.