CVE-2026-61569
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
AVideo to platforma do udostępniania plików wideo. Przed wersją 8.1.0 nieuwierzytelnione logowanie do streamera w `objects/login.json.php` przekazuje parametr `user` do `Streamer::get` w `objects/Streamer.php`, gdzie jest on interpolowany do pojedynczego cudzysłowu MariaDB SELECT bez parametryzacji i ucieczki. Chociaż `objects/security.php` usuwa dosłowne pojedyncze cudzysłowy, `html_entity_decode` w `objects/Login.php` przywraca cudzysłowy zakodowane w encji przed zapytaniem. Podany adres `siteURL` musi przejść przez listę dozwolonych streamerów, która domyślnie dopuszcza wszystkie witryny, gdy są puste, a odpowiedź logowania hostowana przez osobę atakującą musi mieć ustawione ustawienie `canUpload` lub `isAdmin`, aby osiągnąć `Streamer::createIfNotExists`. Ta funkcja wywołuje `Streamer::get` przed dodatkowym sprawdzeniem listy dozwolonych. Wyniki UNION są ujawniane poprzez `streamers_id`, podczas gdy niepowodzenia zwracają wyrenderowane zapytanie i błąd MariaDB. Osoba atakująca może odczytać dowolne dane z bazy danych kodera, w tym zapisane dane uwierzytelniające streamera nadrzędnego, konfigurację listy dozwolonych i rekordy kolejki, bez poświadczeń kodera. Instrukcje skumulowane nie są dozwolone przez sterownik mysqli, a testowane konto bazy danych nie ma globalnych uprawnień FILE, więc zademonstrowany wektor jest ograniczony do odczytów, a nie zapisów plików po stronie serwera. Skradzione dane uwierzytelniające streamera mogą zapewnić ciągły dostęp do transmisji do czasu ich rotacji. Ten problem został rozwiązany w wersji 8.1.0.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org