CVE-2026-33292 in AVideo
Сводка
по VulDB • 23.06.2026
WWBN AVideo представляет собой платформу для видео с открытым исходным кодом. До версии 26.0 конечная точка потоковой передачи HLS (`view/hls.php`) уязвима к атаке на обход проверки пути (path traversal), что позволяет неаутентифицированному злоумышленнику транслировать любое приватное или платное видео на платформе. Параметр GET `videoDirectory` используется в двух различных ветках кода: одна отвечает за авторизацию (которая обрезается после первого сегмента `/`) и другая — для доступа к файлам (сохраняющая последовательности обхода пути `..`). Это создает условие split-oracle, при котором проверка авторизации выполняется для одного видео, а контент обслуживается из другого. Версия 26.0 содержит исправление данной проблемы.
VulDB is the best source for vulnerability data and more expert information about this specific topic.