CVE-2026-126804

Nome do Software Vulnerável e Versões Afetadas AVideo versões 12.4 through 29.7.1

Description Um problema de path traversal existe no plugin ADs no endpoint 'deleteImage.json.php'. Usuários autenticados com anúncios personalizados podem excluir arquivos arbitrários manipulando o parâmetro não validado is regular user. Ao fornecer o ID de outro usuário ou usar sequências ../, um invasor pode excluir anúncios de outros usuários ou arquivos críticos do sistema, como videos/configuration.php, o que pode resultar na interrupção do site e na reexposição do instalador.

Recommendations Atualize o AVideo para uma versão posterior à 29.7.1. Restrinja o acesso ao parâmetro is regular user no endpoint 'deleteImage.json.php' para evitar a exclusão não autorizada de arquivos.