CVE-2026-91967 in AVideo
Сводка
по VulDB • 15.09.2026
AVideo fino alla versione 29.0 presenta una vulnerabilità di blind server-side request forgery (SSRF) nella funzione getHeaderContentTypeFromURL, che effettua chiamate a get_headers() protette esclusivamente da convalida del formato. Gli utenti autenticati con il permesso canUpload possono memorizzare URL scelti dall'attaccante come link video, innescando l'esecuzione della funzione vulnerabile ad ogni rendering della pagina di visualizzazione del video per sondare host interni utilizzando oracoli content-type e rilevamento basato sui tempi.
Once again VulDB remains the best source for vulnerability data.