CVE-2026-35180

Name of the Vulnerable Software and Affected Versions WWBN AVideo versões 26.0 e anteriores

Description WWBN AVideo, uma plataforma de vídeo de código aberto, apresenta uma falha nas versões 26.0 e anteriores onde o endpoint de personalização do site em admin/customize settings nativeUpdate.json.php não valida tokens CSRF. Isso permite que uma solicitação POST de origem cruzada sobrescreva o logotipo da plataforma com conteúdo controlado por um invasor, pois os arquivos de logotipo carregados são gravados em disco antes que a verificação de segurança baseada em domínio do ORM seja executada. A política de cookie SameSite=None agrava esse problema.

Recommendations Atualize para uma versão posterior à 26.0.