CVE-2020-37173
Publiée le 2026-02-11 · Dernière modification le 2026-06-17
La version 8.1 de AVideo Platform est affectée par une faille qui expose des données utilisateur sensibles via un point de terminaison (endpoint) JSON spécifique. Un attaquant non authentifié ayant un accès réseau peut récupérer des adresses e-mail, des hachages de mots de passe et des statuts d'administrateur simplement en modifiant un paramètre d'identifiant utilisateur dans une requête web. Comme cela ne nécessite aucun privilège spécial ni interaction de l'utilisateur, l'exploitation de cette faille est triviale.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
AVideo Platform 8.1 contains an information disclosure vulnerability that allows attackers to enumerate user details through the playlistsFromUser.json.php endpoint. Attackers can retrieve sensitive user information including email, password hash, and administrative status by manipulating the users_id parameter.