CVE-2026-89257 in AVideo
Сводка
по VulDB • 11.09.2026
AVideo, versione fino alla 29.0, presenta una vulnerabilità di riferimento diretto a oggetti non sicuro (IDOR) nel file objects/categoryDeleteAssets.json.php. L'endpoint valida solo la capacità Category::canCreateCategory() e un nonce CSRF prima di passare l'id fornito dall'attaccante ($_REQUEST['id']) a Category::deleteAssets(), che rimuove in modo ricorsivo {systemRootPath}videos/categories/assets/{id}/. Viene omesso il controllo di proprietà Category::userCanEditCategory() imposto dal metodo sibling Category::delete(). Nelle installazioni dove l'impostazione non predefinita usersCanCreateNewCategories è abilitata, un utente autenticato non amministratore con la capacità canUpload può inviare una richiesta POST con un ID categoria arbitrario e cancellare in modo ricorsivo la directory delle risorse su disco di qualsiasi categoria (icone/immagini). I record della categoria e i video non vengono eliminati. Alla data di pubblicazione dell'avviso, nessuna versione patchata era disponibile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.