PT-2026-24090
CVE-2026-30885
·
تاريخ النشر
2026-03-07
·
تاريخ التحديث
2026-03-13
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AVideo الأقدم من 25.0
الوصف
لا تتطلب نقطة النهاية
/objects/playlistsFromUser.json.php أي مصادقة أو تفويض، مما يسمح لمهاجم غير مصادق عليه بتعداد معرّفات المستخدمين واسترداد معلومات قوائم التشغيل، بما في ذلك أسماء قوائم التشغيل ومعرّفات الفيديو وحالة قائمة التشغيل، لأي مستخدم على المنصة. تقبل نقطة النهاية معلمة users id وتستعلم مباشرةً من قاعدة البيانات دون أي تحقق من المصادقة أو التفويض. قد يؤدي ذلك إلى انتهاكات للخصوصية، وتعداد المستخدمين، وجمع المعلومات، وهجمات موجهة محتملة. الملف المعرض للثغرة هو objects/playlistsFromUser.json.php. تُستخدم الدالة getAllFromUser() لاسترداد بيانات قوائم التشغيل دون التحقق من صلاحية وصول المستخدم.التوصيات
يجب تحديث الإصدارات الأقدم من 25.0 إلى الإصدار 25.0 أو أحدث. قم بتنفيذ عمليات التحقق من المصادقة والتفويض قبل إرجاع بيانات قوائم التشغيل. كخيار بديل، اشترط المصادقة واسمح فقط بالوصول إلى قوائم التشغيل الخاصة بالمستخدم نفسه، أو قم بتصفية قوائم التشغيل حسب الرؤية إذا كانت قوائم التشغيل العامة هي المطلوبة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾