CVE-2026-61575
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
AVideo to platforma do udostępniania plików wideo. Przed wersją 8.1.0 `view/queue.php` używa `pathinfo` na kontrolowanym przez wywołującego `fileURI` i przechowuje swoją nazwę pliku poprzez `setTitle` w `encoder_queue.title` bez neutralizacji. `fileURI` nie znajduje się na listach filtrów `objects/security.php`, a funkcja `Login::canUpload()` potrzebna do przesłania wpisu do kolejki może zostać przyznana samodzielnie przy użyciu witryny logowania kontrolowanej przez osobę atakującą bez legalnych danych uwierzytelniających kodera. `view/index.php` ładuje `queue.json` z `view/queue.json.php` do tabeli `#grid` jQuery Bootgrid; jego formater tytułu łączy `row.title` w surowy kod HTML komórki. Osoba atakująca może zatem przechowywać tytuł HTML, którego obsługa zdarzeń działa w przeglądarce uprzywilejowanej przeglądarki. `Encoder::getAll` ogranicza osoby niebędące administratorami do ich własnych wierszy streamera, zatem ofiarą musi być administrator, który widzi wszystkie wiersze, lub operator na streamerze atakującego. Drugi ujście `.html()` w panelu postępu używa tego samego tytułu, ale dodatkowo zależy od skryptu pomocniczego załadowanego ze streamera; do ujścia Bootgrid można uzyskać dostęp wyłącznie z poziomu kodu kodera. Skrypt może odczytywać dane widoczne w sesji i renderować dane uwierzytelniające streamera, korzystać z uprawnień widza i uruchamiać się ponownie dla każdego kwalifikującego się widza, aż do usunięcia wiersza. Ten problem został rozwiązany w wersji 8.1.0.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org