PT-2026-145461
CVE-2026-126804
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
AVideo الإصدارات 12.4 through 29.7.1
Description
توجد ثغرة traversal path في إضافة ADs ضمن endpoint 'deleteImage.json.php'. يمكن للمستخدمين المصرح لهم الذين لديهم إعلانات مخصصة حذف ملفات عشوائية من خلال التلاعب بمعامل
is regular user غير المتحقق منه. من خلال تقديم معرف مستخدم آخر أو استخدام تسلسلات ../ ، يمكن للمهاجم حذف إعلانات مستخدمين آخرين أو ملفات نظام حرجة مثل videos/configuration.php ، مما قد يؤدي إلى توقف الموقع عن العمل وإعادة ظهور برنامج التثبيت.Recommendations
تحديث AVideo إلى إصدار أحدث من 29.7.1.
تقييد الوصول إلى معامل
is regular user في endpoint 'deleteImage.json.php' لمنع حذف الملفات غير المصرح به.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾