PT-2026-129214
CVE-2026-61569
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
AVideo الإصدارات السابقة لـ 8.1.0
الوصف
تسمح عملية تسجيل دخول البث غير المصرح بها بحقن SQL. يقوم endpoint
objects/login.json.php بتمرير المعلمة user إلى الدالة Streamer::get() في objects/Streamer.php والتي يتم إدراجها في استعلام MariaDB SELECT دون استخدام المعلمات أو الهروب المناسب. على الرغم من إزالة علامات الاقتباس المفردة الحرفية، فإن الدالة html entity decode في objects/Login.php تعيد علامات الاقتباس المشفرة ككيانات قبل تنفيذ الاستعلام. يمكن للمهاجم استخدام ذلك لقراءة بيانات قاعدة بيانات المشفر التعسفية، مثل بيانات اعتماد البث upstream المخزنة، وتكوينات قائمة السماح، وسجلات الطابور. يقتصر التأثير على قراءة البيانات لأن البيانات المتراكمة غير مسموح بها بواسطة برنامج تشغيل mysqli ولا يمتلك حساب قاعدة البيانات امتيازات FILE العالمية.التوصيات
التحديث إلى الإصدار 8.1.0.
كإجراء مؤقت، قم بتقييد الوصول إلى endpoint
objects/login.json.php.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾