CVE-2026-41056
Publiée le 2026-04-21 · Dernière modification le 2026-10-26
Les plateformes vidéo AVideo (version 29.0 et versions antérieures) sont vulnérables à une mauvaise configuration du partage de ressources entre origines (CORS). Un attaquant peut inciter un utilisateur connecté à visiter un site web malveillant, lequel effectue ensuite des requêtes non autorisées vers l'API AVideo pour voler des données personnelles, détourner des clés de streaming en direct ou modifier les paramètres du compte. Cette attaque ne nécessite aucune authentification préalable ni privilège spécial, seulement que la victime interagisse avec un lien malveillant alors que sa session AVideo est active.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
WWBN AVideo is an open source video platform. In versions 29.0 and below, the `allowOrigin($allowAll=true)` function in `objects/functions.php` reflects any arbitrary `Origin` header back in `Access-Control-Allow-Origin` along with `Access-Control-Allow-Credentials: true`. This function is called by both `plugin/API/get.json.php` and `plugin/API/set.json.php` — the primary API endpoints that handle user data retrieval, authentication, livestream credentials, and state-changing operations. Combined with the application's `SameSite=None` session cookie policy, any website can make credentialed cross-origin requests and read authenticated API responses, enabling theft of user PII, livestream keys, and performing state changes on behalf of the victim. Commit caf705f38eae0ccfac4c3af1587781355d24495e contains a fix.