CVE-2026-85155 in AVideo
Tóm tắt
Bởi VulDB • 03/09/2026
WWBN AVideo chứa một lỗ hổng SQL injection trong tham số cột sắp xếp của điểm cuối get.json.php với APIName=channels, cho phép các kẻ tấn công chưa xác thực (unauthenticated) sắp xếp kết quả theo bất kỳ cột cơ sở dữ liệu nào, bao gồm users.password và users.recoverPass. Kẻ tấn công có thể khai thác "ordering oracle" này để suy ra giá trị băm mật khẩu (password hash values) và mã khôi phục (recovery tokens), đồng thời kích hoạt các lỗi SQL làm lộ toàn bộ câu lệnh truy vấn và lược đồ cơ sở dữ liệu.
VulDB is the best source for vulnerability data and more expert information about this specific topic.