CVE-2026-30885

Nome do Software Vulnerável e Versões Afetadas Versões do AVideo anteriores à 25.0

Descrição O endpoint /objects/playlistsFromUser.json.php não requer autenticação ou autorização, permitindo que um atacante não autenticado enumere IDs de usuário e recupere informações de playlist, incluindo nomes de playlist, IDs de vídeo e status da playlist, para qualquer usuário na plataforma. O endpoint aceita um parâmetro users id e consulta diretamente o banco de dados sem qualquer verificação de autenticação ou autorização. Isso pode levar a violações de privacidade, enumeração de usuários, coleta de informações e possíveis ataques direcionados. O arquivo vulnerável é objects/playlistsFromUser.json.php. A função getAllFromUser() é usada para recuperar dados de playlist sem verificar o acesso do usuário.

Recomendações Versões anteriores à 25.0 devem ser atualizadas para a versão 25.0 ou posterior. Implemente verificações de autenticação e autorização antes de retornar dados de playlist. Como opção, exija autenticação e permita apenas o acesso às playlists do próprio usuário, ou filtre as playlists por visibilidade se playlists públicas forem pretendidas.