WWBN AVideo é uma plataforma de vídeo de código aberto. Em versões 29.0 e anteriores, vários pontos de endpoints AVideo JSON sob `objetos/` aceitar pedidos de mudança de estado via `$_REQUEST`/ `$_GET` e persistir mudanças ligadas ao usuário de sessão do chamador, sem qualquer token anti- CSRF, check de origem ou check de referência. Uma página maligna visitada por uma vítima iniciada pode lançar/ desviar silenciosamente o texto como/ desagradável da vítima em qualquer comentário (`objetos/ comentários_like.json.php`), publicar um comentário escrito pela vítima em qualquer vídeo, com texto do atacante (`objetos/ comentárioAdicionarNew.json.php`), e/ ou excluir ativos de qualquer categoria (`objetos/ categoriaDeleteAssets.json.php`) quando a vítima tem direitos de gestão de categoria. Cada endpoint é alcançável a partir de um navegador através de uma simples ` ` etiqueta ou submissão de formulário, portanto a exploração só requer que a vítima carregue um recurso HTML controlado pelo atacante. Commit 7 aaad 601 bd 9 cd 7 b 993 ba 0 ee 1 b 1 bê 6 c 32 ee 7 b 77 o c contém uma correção. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 40928 foi publicado em 2026 - 04 - 21 T 23: 16: 20.300 Z e última modificação em 2026 - 06 - 17 T 10: 45: 53.990 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 5.4, gravidade MEDIUM, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L, pontuação de exploração 2.8, pontuação de impacto 2.5; CVSS. Classificações de fraqueza associadas: CWE- 352.
Produtos ou plataformas nomeados nos dados de aplicabilidade incluem: wwbn avideo. O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.