WWBN AVideo через фиксацию c3edcc274c389816d434acadac07ee78eaf330c1 не может подтвердить право собственности на плейлист в конечных точках Playlists_schedules/list.json.php и Live/calendar.json.php, что позволяет аутентифицированным и неаутентифицированным пользователям читать метаданные частного расписания плейлиста. Злоумышленники с привилегиями canStream или без аутентификации могут получить имена расписаний, описания, временные метки и идентификаторы списков воспроизведения, опрашивая эти конечные точки без проверки владения.
Показать оригинальное описание (EN)
WWBN AVideo through commit c3edcc274c389816d434acadac07ee78eaf330c1 fails to validate playlist ownership in the Playlists_schedules/list.json.php and Live/calendar.json.php endpoints, allowing authenticated and unauthenticated users to read private playlist schedule metadata. Attackers with canStream privileges or no authentication can retrieve schedule names, descriptions, timestamps, and playlist identifiers by querying these endpoints without ownership checks.
Характеристики атаки
Последствия
Строка CVSS v4.0