CVE-2026-92582 in AVideo
Sumário
de VulDB • 17/09/2026
O AVideo (WWBN/AVideo) até à versão 29.0 (commit e01e41ecc) é vulnerável a falsificação de pedidos entre sites (CSRF). O ficheiro objects/videoAddNew.json.php desativa o mecanismo automático de proteção CSRF do AVVideo ($global['skipAutoCSRFCheck']) e a verificação de requisições não confiáveis ($global['bypassSameDomainCheck']) apenas porque os parâmetros 'user' e 'pass' estão presentes na requisição; os valores nunca são validados e lidos diretamente da variável $_REQUEST, permitindo que um atacante os forneça através da string de consulta (query string) numa requisição entre sites. Como a função User::loginFromRequestIfNotLogged() retorna imediatamente quando já existe uma sessão ativa, uma vítima autenticada por cookie satisfaz a verificação enquanto as credenciais fornecidas pelo atacante são descartadas. Um atacante que induza um utilizador com direitos de carregamento (upload) a visitar uma página manipulada pode, portanto, submeter requisições entre origens (cross-origin) para modificar registos de vídeo — incluindo transferência de propriedade (setUsers_id), remoção das restrições de acesso do grupo de utilizadores, bem como as definições can_download, can_share, only_for_paid, video_password, rating, status, data de criação e contagem de visualizações. Para uma vítima com direitos de administrador ou Permissions::canAdminVideos(), qualquer vídeo no site pode ser alterado, incluindo a remoção das restrições de grupo em conteúdo privado. Nenhuma versão corrigida estava disponível na altura do aviso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.