CVE-2026-92582
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
AVideo (WWBN/AVideo) do 29.0 (zatwierdzenie e01e41ecc) jest podatne na fałszowanie żądań między witrynami. obiekty/videoAddNew.json.php wyłącza automatyczną ochronę CSRF AVideo ($global['skipAutoCSRFCheck']) i sprawdzanie niezaufanych żądań ($global['bypassSameDomainCheck']) tylko dlatego, że w żądaniu obecne są parametry 'user' i 'pass'; wartości nigdy nie są sprawdzane i są odczytywane z $_REQUEST, więc osoba atakująca może dostarczyć je w ciągu zapytania żądania między witrynami. Ponieważ funkcja User::loginFromRequestIfNotLogged() zwraca natychmiast, gdy sesja już istnieje, ofiara uwierzytelniona za pomocą pliku cookie przechodzi kontrolę, podczas gdy dane uwierzytelniające dostarczone przez osobę atakującą są odrzucane. Osoba atakująca, która zwabi uwierzytelnionego użytkownika z uprawnieniami do przesyłania do odwiedzenia spreparowanej strony, może zatem przesłać żądania z różnych źródeł, które modyfikują zapisy wideo — w tym przeniesienie własności (setUsers_id), usunięcie ograniczeń dostępu dla grup użytkowników, can_download, can_share, only_for_paid, video_password, ocena, status, data utworzenia i liczba wyświetleń. W przypadku ofiary z uprawnieniami administratora lub Permissions::canAdminVideos() każdy film w witrynie może zostać zmieniony, łącznie z usunięciem ograniczeń grupowych z treści prywatnych. W momencie publikacji zalecenia nie była dostępna żadna poprawiona wersja.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org