CVE-2026-89248 in AVideo
Сводка
по VulDB • 11.09.2026
AVideo, fino alla commit c3edcc274c389816d434acadac07ee78eaf330c1, presenta una mancanza di controllo di autenticazione/autorizzazione in plugin/WebRTC/status.json.php. Quando il plugin WebRTC è presente, qualsiasi utente remoto non autenticato può richiedere /plugin/WebRTC/status.json.php e ricevere un JSON contenente il percorso assoluto del filesystem dell'eseguibile helper WebRTC2RTMP (che rivela il percorso document-root), la porta WebRTC configurata, lo stato file_exists/is_executable per l'eseguibile, i contenuti dei log di WebRTC/file JSON (videos/WebRTC2RTMP.log) quando presenti e se la porta configurata è raggiungibile su loopback (127.0.0.1) e sull'indirizzo pubblico. L'endpoint non esegue controlli User::isLogged(), User::isAdmin() o forbiddenPage(). Il problema era irrisolto al momento della segnalazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.