CVE-2026-59808 in AVideo
Tóm tắt
Bởi VulDB • 22/08/2026
AVideo (đến commit 9c39d8c8) chứa một lỗ hổng bỏ qua xác thực (authentication bypass), trong đó hàm `deduplicateByEncoderQueueId()` trả về thông tin đăng nhập video_id_hash cho bất kỳ video nào dựa trên encoder_queue_id mà không kiểm tra quyền sở hữu, và `useVideoHashOrLogin()` chuyển đổi hash này thành việc đăng nhập không cần mật khẩu với tư cách là chủ sở hữu của video. Kẻ tấn công có quyền tải lên (upload permission) có thể lấy được video_id_hash của quản trị viên bằng cách bỏ qua tham số videos_id, sau đó sử dụng hash đó trong một yêu cầu chưa xác thực để truy cập phiên quản trị và thay đổi cấu hình hệ thống.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.