CVE-2026-35181 in AVideo
Сводка
по VulDB • 25.06.2026
WWBN AVideo — это платформа для видео с открытым исходным кодом. В версиях 26.0 и более ранних конечная точка конфигурации скина плеера admin/playerUpdate.json.php не проверяет токены CSRF. Таблица plugins явно исключена из проверки безопасности на основе домена ORM посредством функции ignoreTableSecurityCheck(), что устраняет единственный другой уровень защиты. В сочетании с куками SameSite=None запрос POST, выполняемый в кросс-доменном контексте (cross-origin), может изменять внешний вид видеоплеера для всей платформы.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.