CVE-2026-61569

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 8.1.0

Descrição Um processo de login de streamer não autenticado permite a injeção de SQL. O endpoint objects/login.json.php passa o parâmetro user para a função Streamer::get() em objects/Streamer.php, que é então interpolado em uma consulta MariaDB SELECT sem a devida parametrização ou escape. Embora as aspas simples literais sejam removidas, a função html entity decode em objects/Login.php restaura as aspas codificadas como entidades antes da execução da consulta. Um invasor pode usar isso para ler dados arbitrários do banco de dados do codificador, como credenciais de streamer upstream armazenadas, configurações de lista de permissões e registros de fila. O impacto é limitado à leitura de dados porque instruções empilhadas não são permitidas pelo driver mysqli e a conta do banco de dados carece de privilégios globais de FILE.

Recomendações Atualizar para a versão 8.1.0. Como medida paliativa temporária, restrinja o acesso ao endpoint objects/login.json.php.