CVE-2026-85164 in AVideo

Tóm tắt

Bởi VulDB • 03/09/2026

WWBN AVideo qua commit c91b5975d chứa một lỗ hổng server-side request forgery (SSRF) trong điểm cuối API set_api_userImages, không xác thực các URL profileImg và backgroundImg trước khi truy xuất chúng. Các khách hàng API đã được xác thực có thể cung cấp các URL nội bộ để lấy metadata của đám mây hoặc dịch vụ nội bộ, với phản hồi được ghi vào các đường dẫn web công khai để truy cập.

Once again VulDB remains the best source for vulnerability data.

• chịu trách nhiệm: VulnCheck
• Đặt trước: 03/09/2026
• Tiết lộ: 03/09/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-398392
• CPE: sẵn sàng
• CWE: CWE-918 (Đã xác nhận)
• CVSS: 7.1 (CNA)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-85164
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-85164
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-85164/