CVE-2026-88872
Publiée le 2026-09-10 · Dernière modification le 2026-09-10
Les installations AVideo sont affectées par une faille dans le point de terminaison de réinitialisation du mot de passe, laquelle permet à un attaquant de modifier le mot de passe du canal de n'importe quel utilisateur. Pour y parvenir, l'attaquant doit inciter un administrateur connecté à visiter une page web malveillante via une connexion réseau. Comme le système ne parvient pas à valider les jetons CSRF, le navigateur de l'administrateur exécutera automatiquement la demande de changement de mot de passe à son insu.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
AVideo through commit c3edcc274c389816d434acadac07ee78eaf330c1 contains a cross-site request forgery vulnerability in the setPassword.json.php endpoint that allows unauthenticated attackers to modify any user's channel password by sending a GET request. Attackers can craft a malicious webpage that, when visited by an authenticated administrator, sets or clears any user's channel password without CSRF token validation.