FICHE CVE

CVE-2026-33043

Publiée le 2026-03-20 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions 25.0 et antérieures des plateformes vidéo AVideo sont affectées par une faille qui laisse fuiter les identifiants de session via un fichier PHP spécifique. Un attaquant peut voler la session d'un utilisateur et prendre le contrôle total de son compte s'il parvient à inciter un utilisateur connecté à visiter un site web malveillant. Cette attaque est réalisée via le réseau et ne nécessite aucune authentification, bien qu'elle dépende de l'interaction d'une victime avec un lien malveillant.

CVSS 3.18.1 ÉLEVÉE

Type de faiblesse

CWE-942

Publiée2026-03-20

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

WWBN AVideo is an open source video platform. In versions 25.0 and below, /objects/phpsessionid.json.php exposes the current PHP session ID to any unauthenticated request. The allowOrigin() function reflects any Origin header back in Access-Control-Allow-Origin with Access-Control-Allow-Credentials: true, enabling cross-origin session theft and full account takeover. This issue has been fixed in version 26.0.