anonhaven
Ad

CVE-2026-90547

MEDIUM CVSS 4.0: 6,9
Обновлено 12 сентября 2026
PHP
Параметр Значение
CVSS 6,9 (MEDIUM)
Тип уязвимости CWE-862 (Отсутствие авторизации)
Поставщик PHP
Публичный эксплойт Нет

WWBN AVideo посредством фиксации c3edcc274c389816d434acadac07ee78eaf330c1 не может проверить права пользователя в конечной точке плагина Bookmark getBookmarks.json.php, что позволяет неаутентифицированным злоумышленникам читать названия глав из видео, защищенных паролем. Злоумышленники могут запросить конечную точку с параметром идентификатора видео, чтобы получить конфиденциальные метаданные главы без аутентификации или проверки пароля.

Показать оригинальное описание (EN)

WWBN AVideo through commit c3edcc274c389816d434acadac07ee78eaf330c1 fails to validate user permissions in the Bookmark plugin getBookmarks.json.php endpoint, allowing unauthenticated attackers to read chapter names from password-protected videos. Attackers can query the endpoint with a video ID parameter to retrieve sensitive chapter metadata without authentication or password verification.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-862 Missing Authorization (Отсутствие авторизации)

Ссылки 2

https://github.com/WWBN/AVideo/security/advisories/GHSA-xv29-q875-59jq
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/wwbn-avideo-missing-authorization-via-getb…
disclosure@vulncheck.com
Share Post Share Share Share

Связанные уязвимости

CVE-2026-90552

PHP

5,3

CVE-2026-90550

PHP

6,9

CVE-2026-90549

PHP

6,9

CVE-2026-90548

PHP

6,9

CVE-2026-90546

PHP

5,3