Anmelden
Deutsch English Español Polski
Kritisch

AVideo has Unauthenticated SQL Injection via JSON Request Bypass in objects/videos.json.php

  • Veröffentlicht: 02.03.2026
  • Aktualisiert: 11.10.2026 10:22

Impact

An unauthenticated SQL Injection vulnerability exists in AVideo within the objects/videos.json.php and objects/video.php components.

The application fails to properly sanitize the catName parameter when it is supplied via a JSON-formatted POST request body. Because JSON input is parsed and merged into $_REQUEST after global security checks are executed, the payload bypasses the existing sanitization mechanisms.

This allows an unauthenticated attacker to:

  • Execute arbitrary SQL queries
  • Perform full database exfiltration
  • Extract sensitive data including administrator usernames, password hashes, session identifiers and user records
  • Potentially escalate privileges by cracking password hashes offline
  • Chain with authenticated vulnerabilities to achieve full system compromise

This vulnerability is classified as:

  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command (SQL Injection)

Patches

This vulnerability has been fixed in version 23.

Users must upgrade to version 23 or later.

Workarounds

There is no reliable workaround.

The only recommended mitigation is to upgrade immediately to version 23 upon its release.

References

Internal security report.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket wwbn/avideo <= 21.0.0 keine Korrektur

Verweise

CVSS-Wert 9.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-89
Plattform
Composer
Paket
wwbn/avideo
Veröffentlicht
02.03.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-pv87-r9qf-x56p - CC BY 4.0

Schwachstellenhistorie: wwbn/avideo

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (160) im Archiv
Einträge insgesamt
160
Erste → letzte
04.2022 06.2026
Ohne Fix
143
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 14
  • Hoch 61
  • Mittel 83
  • Niedrig 2

Veröffentlichungen pro Jahr

Schweregrad:
  1. AVideo has Unauthenticated SQL Injection via JSON Request Bypass in objects/videos.json.php dieser Eintrag
    Kritisch · 9.8 CVE-2026-28501 <= 21.0.0 keine Korrektur
  2. AVideo has an incomplete fix of CVE-2026-33482: sanitizeFFmpegCommand still allows a single '&' (background operator), giving OS command execution at the same execAsync sh -c sink
    Hoch · 8.1 CVE-2026-55173 <= 29.0 keine Korrektur
  3. AVideo Vulnerable to Unauthenticated .env File Exposure via Official Docker Compose Configuration
    Hoch · 7.5 CVE-2026-33692 < 29.0 29.0
  4. WWBN AVideo: Unauthenticated Stored DOM Cross-Site Scripting via Per-Client Metadata Broadcast in YPTSocket Plugin
    Kritisch · 9.6 CVE-2026-54458 <= 29.0 keine Korrektur
  5. WWBN AVideo: Stored XSS via autoEvalCodeOnHTML Bypass in MessageSQLite WebSocket Handler (CVE-2026-43874 Bypass)
    Hoch CVE-2026-49279 <= 29.0 keine Korrektur
  6. WWBN AVideo: Authenticated wallet credit bypass in AuthorizeNet processPayment endpoint
    Hoch · 4.3 CVE-2026-47696 <= 29.0 keine Korrektur
  7. AVideo: OS command injection in on_publish.php execAsync via unescaped m3u8 URL
    Hoch · 8.8 CVE-2026-45578 <= 29.0 keine Korrektur
  8. AVideo's Meet plugin: `uploadRecordedVideo.json.php` derives `users_id` from the uploaded filename and calls passwordless `User->login()`, allowing any caller with the Meet shared secret to obtain a session as arbitrary users including admin
    Hoch · 8.1 CVE-2026-56345 <= 29.0 keine Korrektur
  9. AVideo Vulnerable to Exposure of Sensitive Information to an Unauthorized Actor and Missing Authorization
    Hoch CVE-2026-43885 <= 29.0 keine Korrektur
  10. AVideo has SSRF Protection Bypass via HTTP Redirect and DNS Rebinding in isSSRFSafeURL()
    Hoch · 7.7 CVE-2026-43884 <= 29.0 keine Korrektur
  11. AVideo has an Incomplete Fix for YPTSocket autoEvalCodeOnHTML Strip: Unauthenticated Cross-User JavaScript Execution via `$msg['json']` Relay Bypass
    Hoch · 7.2 CVE-2026-43874 <= 29.0 keine Korrektur
  12. AVideo: Unauthenticated Disclosure of CloneSite `myKey` via Error Echo in `cloneClient.json.php` Enables Cross-Site DB Dump of the Configured Clone Server
    Hoch · 7.5 CVE-2026-43873 <= 29.0 keine Korrektur
  13. WWBN AVideo: RCE cause by clonesite plugin
    Hoch · 9.8 CVE-2026-41304 <= 29.0 keine Korrektur
  14. WWBN AVideo has an incomplete fix for CVE-2026-33502: Command Injection
    Hoch · 9.3 CVE-2026-41064 <= 29.0 keine Korrektur
  15. WWBN AVideo has a SSRF via same-domain hostname with alternate port bypasses isSSRFSafeURL
    Hoch · 7.7 CVE-2026-41060 <= 29.0 keine Korrektur
  16. WWBN AVideo has a CORS Origin Reflection Bypass via plugin/API/router.php and allowOrigin(true) Exposes Authenticated API Responses
    Hoch · 7.1 CVE-2026-41057 <= 29.0 keine Korrektur
  17. WWBN AVideo has CORS Origin Reflection with Credentials on Sensitive API Endpoints Enables Cross-Origin Account Takeover
    Hoch · 8.1 CVE-2026-41056 <= 29.0 keine Korrektur
  18. WWBN AVideo has Multiple CSRF Vulnerabilities in Admin JSON Endpoints (Category CRUD, Plugin Update Script)
    Hoch · 7.1 CVE-2026-40926 <= 29.0 keine Korrektur
  19. WWBN AVideo has CSRF in configurationUpdate.json.php Enables Full Site Configuration Takeover Including Encoder URL and SMTP Credentials
    Hoch · 8.3 CVE-2026-40925 <= 29.0 keine Korrektur
  20. WWBN AVideo YPTSocket WebSocket Broadcast Relay Leads to Unauthenticated Cross-User JavaScript Execution via Client-Side eval() Sinks
    Kritisch · 10.0 CVE-2026-40911 <= 29.0 keine Korrektur
  21. WWBN AVideo has a Path Traversal in Locale Save Endpoint Enables Arbitrary PHP File Write to Any Web-Accessible Directory (RCE)
    Hoch · 8.7 CVE-2026-40909 <= 29.0 keine Korrektur
  22. WWBN AVideo has an Allowlisted downloadURL media extensions bypass SSRF protection and enable internal response exfiltration (Incomplete fix for CVE-2026-27732)
    Hoch · 7.1 CVE-2026-39370 <= 26.0 keine Korrektur
  23. WWBN AVideo's GIF poster fetch bypasses traversal scrubbing and exposes local files through public media URLs
    Hoch · 7.6 CVE-2026-39369 <= 26.0 keine Korrektur
  24. AVideo: Unauthenticated Live Stream Termination via RTMP Callback on_publish_done.php
    Hoch · 7.5 CVE-2026-34731 <= 26.0 keine Korrektur
  25. AVideo's CSRF on Admin Plugin Configuration Enables Payment Credential Hijacking
    Hoch · 8.1 CVE-2026-34394 <= 26.0 keine Korrektur
  26. AVideo Vulnerable to Reflected XSS via Unsanitized plugin Parameter in YPTWallet Stripe Payment Page
    Hoch · 8.2 CVE-2026-34375 <= 26.0 keine Korrektur
  27. AVideo: Unauthenticated Access to Payment Log DataTables Endpoints Exposes Transaction Data, PayPal Tokens, and User Financial Records
    Hoch · 7.5 CVE-2026-56341 <= 26.0 keine Korrektur
  28. AVideo has Plaintext Video Password Storage
    Kritisch CVE-2026-33867 <= 26.0 keine Korrektur
  29. AVideo has SQL Injection in category.php fixCleanTitle() via Unparameterized clean_title and id Variables
    Hoch CVE-2026-33770 <= 26.0 keine Korrektur
  30. AVideo has SQL Injection via Partial Prepared Statement — videos_id Concatenated Directly into Query
    Hoch CVE-2026-33767 < 26.0 26.0
  31. AVideo is Vulnerable to SQL Injection through Subscribe Endpoint via Unsanitized user_id Parameter
    Hoch · 7.1 CVE-2026-33723 <= 26.0 keine Korrektur
  32. AVideo: Unauthenticated CDN Configuration Takeover via Empty Default Key Bypass and Mass-Assignment
    Hoch · 8.6 CVE-2026-33719 <= 26.0 keine Korrektur
  33. AVideo: Remote Code Execution via PHP Temp File in Encoder downloadURL
    Hoch · 8.8 CVE-2026-33717 <= 26.0 keine Korrektur
  34. AVideo Allows Unauthenticated Live Stream Control via Token Verification URL Override in control.json.php
    Kritisch · 9.4 CVE-2026-33716 <= 26.0 keine Korrektur
  35. AVideo has Path Traversal in pluginRunDatabaseScript.json.php Enables Arbitrary SQL File Execution via Unsanitized Plugin Name
    Hoch · 7.2 CVE-2026-33681 <= 26.0 keine Korrektur
  36. AVideo has a Blind SQL Injection in Live Schedule Reminder via Unsanitized live_schedule_id in Scheduler_commands::getAllActiveOrToRepeat()
    Hoch · 8.1 CVE-2026-33651 <= 26.0 keine Korrektur
  37. AVideo: Video Moderator Privilege Escalation via Ownership Transfer Enables Arbitrary Video Deletion
    Hoch · 7.6 CVE-2026-33650 <= 26.0 keine Korrektur
  38. AVideo's GET-Based CSRF in setPermission.json.php Enables Privilege Escalation via Arbitrary Permission Modification
    Hoch · 8.1 CVE-2026-33649 <= 26.0 keine Korrektur
  39. AVideo Vulnerable to OS Command Injection via Unsanitized `users_id` and `liveTransmitionHistory_id` in Restreamer Log File Path
    Hoch · 8.8 CVE-2026-33648 <= 26.0 keine Korrektur
  40. AVideo Vulnerable to Remote Code Execution via MIME/Extension Mismatch in ImageGallery File Upload
    Hoch · 8.8 CVE-2026-33647 <= 26.0 keine Korrektur
  41. AVideo has an Unauthenticated Local File Inclusion in API locale (RCE possible with writable PHP)
    Hoch · 8.6 CVE-2026-33513 <= 26.0 keine Korrektur
  42. AVideo has an unauthenticated decrypt oracle leaking any ciphertext
    Hoch · 7.5 CVE-2026-33512 <= 26.0 keine Korrektur
  43. AVideo Affected by CSRF on Plugin Import Endpoint Enables Unauthenticated Remote Code Execution via Malicious Plugin Upload
    Hoch · 8.8 CVE-2026-33507 <= 26.0 keine Korrektur
  44. AVideo has Unauthenticated SSRF via plugin/Live/test.php
    Kritisch · 9.3 CVE-2026-33502 <= 26.0 keine Korrektur
  45. AVideo has a Path Traversal in import.json.php Allows Private Video Theft and Arbitrary File Read/Deletion via fileURI Parameter
    Hoch · 7.1 CVE-2026-33493 <= 26.0 keine Korrektur
  46. AVideo has Session Fixation via GET PHPSESSID Parameter With Disabled Login Session Regeneration
    Hoch · 7.3 CVE-2026-33492 <= 26.0 keine Korrektur
  47. AVideo has a PGP 2FA Bypass via Cryptographically Broken 512-bit RSA Key Generation in LoginControl Plugin
    Hoch · 7.4 CVE-2026-33488 <= 26.0 keine Korrektur
  48. AVideo has an Unauthenticated Blind SQL Injection in RTMP on_publish Callback via Stream Name Parameter
    Hoch · 7.5 CVE-2026-33485 <= 26.0 keine Korrektur
  49. AVideo Affected by Unauthenticated Disk Space Exhaustion via Unlimited Temp File Creation in aVideoEncoderChunk.json.php
    Hoch · 7.5 CVE-2026-33483 <= 26.0 keine Korrektur
  50. AVideo has an OS Command Injection via $() Shell Substitution Bypass in sanitizeFFmpegCommand()
    Hoch · 8.1 CVE-2026-33482 <= 26.0 keine Korrektur
  51. AVideo has a SSRF Protection Bypass via IPv4-Mapped IPv6 Addresses in Unauthenticated LiveLinks Proxy
    Hoch · 8.6 CVE-2026-33480 <= 26.0 keine Korrektur
  52. AVideo has PHP Code Injection via eval() in Gallery saveSort.json.php Exploitable Through CSRF Against Admin
    Hoch · 8.8 CVE-2026-33479 <= 26.0 keine Korrektur
  53. AVideo Multi-Chain Attack: Unauthenticated Remote Code Execution via Clone Key Disclosure, Database Dump, and Command Injection
    Kritisch · 10.0 CVE-2026-33478 <= 26.0 keine Korrektur
  54. AVideo has an authenticated arbitrary local file read via `chunkFile` path injection in `aVideoEncoder.json.php`
    Hoch · 7.6 CVE-2026-33354 <= 26.0 keine Korrektur
  55. AVideo has an Unauthenticated SQL Injection via `doNotShowCats` Parameter (Backslash Escape Bypass)
    Kritisch · 9.8 CVE-2026-33352 <= 26.0 keine Korrektur
  56. AVideo has Unauthenticated SSRF via `webSiteRootURL` Parameter in saveDVR.json.php, Chaining to Verification Bypass
    Kritisch · 9.1 CVE-2026-33351 <= 26.0 keine Korrektur
  57. AVideo Affected by Stored XSS via Unescaped Video Title in CDN downloadButtons.php
    Hoch CVE-2026-33295 <= 25.0 keine Korrektur
  58. AVideo Affected by Arbitrary File Deletion via Path Traversal in CloneSite deleteDump Parameter
    Hoch · 8.1 CVE-2026-33293 <= 25.0 keine Korrektur
  59. AVideo has an Authorization Bypass via Path Traversal in HLS Endpoint Allows Streaming Private/Paid Videos
    Hoch · 7.5 CVE-2026-33292 <= 25.0 keine Korrektur
  60. AVideo vulnerable to unauthenticated SSRF via HTTP redirect bypass in LiveLinks proxy
    Hoch · 8.6 CVE-2026-33039 <= 25.0 keine Korrektur
  61. AVideo affected by Session Hijacking via Unauthenticated Session ID Disclosure with Permissive CORS
    Hoch · 8.1 CVE-2026-33043 <= 25.0 keine Korrektur
Mehr anzeigen (14) 61 von 75 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.