CVE-2026-85160

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores ao commit c91b5975d

Description Existe um problema no endpoint 'stopLive.php' devido à falta de validação de token e concatenação não sanitizada do parâmetro key. Isso permite a ocorrência de cross-site request forgery (CSRF) e path traversal, onde um invasor pode disparar a exclusão recursiva de diretórios. Por exemplo, ao criar uma tag de imagem com um payload como key=../../videos, um invasor pode excluir o diretório de vídeos caso um administrador visite uma página maliciosa.

Recommendations Atualize o AVideo para uma versão posterior ao commit c91b5975d. Como mitigação temporária, restrinja o acesso ao endpoint 'stopLive.php' ou evite o uso do parâmetro key até que a atualização seja aplicada.