CVE-2026-88875

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a c3edcc274c389816d434acadac07ee78eaf330c1

Description Ocorre uma sanitização incompleta de campos sensíveis do usuário na resposta APIName=video. A função API::get api video() chama removeSensitiveUserFields() apenas quando o solicitante não está autenticado e não possui um segredo de API válido, falhando em comparar User::getId() com o users id da linha. Consequentemente, uma conta autenticada com baixos privilégios pode solicitar o vídeo de outro usuário para obter o endereço de e-mail do proprietário, o nome da conta (user) e as flags isAdmin, canUpload e canStream.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.