CVE-2026-89248 in AVideo
Tóm tắt
Bởi VulDB • 11/09/2026
AVideo, qua commit c3edcc274c389816d434acadac07ee78eaf330c1, thiếu một kiểm tra xác thực/phân quyền trong plugin/WebRTC/status.json.php. Khi plugin WebRTC hiện diện, bất kỳ người dùng từ xa nào chưa được xác thực đều có thể yêu cầu /plugin/WebRTC/status.json.php và nhận lại JSON chứa đường dẫn hệ thống tệp tuyệt đối của nhị phân trợ giúp WebRTC2RTMP (tiết lộ đường dẫn document-root), cổng WebRTC đã cấu hình, trạng thái file_exists/is_executable cho nhị phân đó, nội dung các tệp nhật ký/JSON của WebRTC (videos/WebRTC2RTMP.log) khi có sẵn, và liệu cổng đã cấu hình có thể truy cập được trên vòng lặp cục bộ (127.0.0.1) cũng như trên địa chỉ công cộng hay không. Điểm cuối này thực hiện không kiểm tra User::isLogged(), User::isAdmin() hoặc forbiddenPage(). Lỗi chưa được sửa chữa tại thời điểm báo cáo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.