PT-2026-89376

CVE-2026-88865

Publicado

2026-09-10

Atualizado

2026-09-18

Descrição por

CVSS 4.0

8.6

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores ao commit c3edcc274c389816d434acadac07ee78eaf330c1

Description Usuários autenticados com a permissão canStream podem gerar tokens para restreams arbitrários porque o software falha ao validar a propriedade do restream no endpoint 'getRestream.json.php'. Esses tokens podem ser trocados através do endpoint 'getLiveKey.json.php' para recuperar chaves de transmissão de outros usuários, permitindo a publicação não autorizada em destinos YouTube, Twitch ou RTMP.

Recommendations Atualize o AVideo para a versão que contenha o commit c3edcc274c389816d434acadac07ee78eaf330c1.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Santhreal

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-639: Authorization Bypass Through User-Controlled Key

Identificadores relacionados