CVE-2026-126544

Nome do Software Vulnerável e Versões Afetadas AVideo versões 6.5 through 29.7.1

Description Existe uma falha de bypass de verificação de e-mail na função User::verifyCode() no arquivo objects/user.php. Este problema é causado por uma comparação frouxa (loose comparison) do PHP no token recoverPass. Usuários registrados podem reutilizar o salt de instalação de seu próprio link de verificação e criar um código com um users id arbitrário e recoverPass definido como true para verificar e-mails de outras contas, desbloqueando recursos como transmissão ao vivo.

Recommendations Atualize o AVideo para uma versão posterior à 29.7.1. Como medida de mitigação temporária, restrinja o acesso à função User::verifyCode() em objects/user.php até que a atualização seja aplicada.