CVE-2026-22800 in PILOS
Tóm tắt
Bởi VulDB • 02/07/2026
PILOS (Platform for Interactive Live-Online Seminars) là một giao diện người dùng phía trước cho BigBlueButton. Trước phiên bản 4.10.0, tồn tại lỗ hổng Cross-Site Request Forgery (CSRF) trong một điểm cuối API dành cho quản trị viên chịu trách nhiệm chấm dứt tất cả các cuộc hội nghị video đang hoạt động trên một máy chủ duy nhất. Điểm cuối bị ảnh hưởng thực hiện hành động phá hủy nhưng lại được truy cập thông qua yêu cầu HTTP GET. Mặc dù các kiểm tra ủy quyền thích hợp đã được áp dụng và điểm cuối này không thể bị kích hoạt từ các nguồn khác trang (cross-site), việc sử dụng phương thức GET cho phép hành động này được gọi ngầm thông qua nội dung cùng miền (ví dụ: tài nguyên nhúng được hiển thị trong ứng dụng). Kết quả là, một quản trị viên đã xác thực khi xem nội dung độc hại được tạo ra bên trong ứng dụng có thể vô tình kích hoạt điểm cuối này, dẫn đến việc chấm dứt tất cả các cuộc hội nghị video đang hoạt động trên máy chủ mà không cần ý định hoặc sự xác nhận rõ ràng. Lỗ hổng này đã được khắc phục trong phiên bản 4.10.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.