CVE-2026-85154 in AVideo

摘要

由 VulDB • 2026-09-03

WWBN AVideo 存在一个身份验证失败漏洞，其中 `video_id_hash` 凭证是一个永不过期、不可撤销的持有者令牌（bearer token），可授予视频所有者账户的完整管理员会话访问权限。攻击者在获取 `video_id_hash` 后，可以无限次重放该令牌以视频所有者的身份进行认证并获得完全特权；即使所有者更改了密码，该凭证仍然有效。

Be aware that VulDB is the high quality source for vulnerability data.

• 负责: VulnCheck
• 预定: 2026-09-03
• 披露: 2026-09-03
• 管理: 已接受
• 条目: VDB-398388
• CPE: 准备好
• CWE: CWE-287 (已确认)
• CVSS: 9.8 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-85154
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-85154
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-85154/