Zaloguj się
Deutsch English Español Polski
Krytyczna

AVideo has Unauthenticated SQL Injection via JSON Request Bypass in objects/videos.json.php

  • Ujawniono: 02.03.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

An unauthenticated SQL Injection vulnerability exists in AVideo within the objects/videos.json.php and objects/video.php components.

The application fails to properly sanitize the catName parameter when it is supplied via a JSON-formatted POST request body. Because JSON input is parsed and merged into $_REQUEST after global security checks are executed, the payload bypasses the existing sanitization mechanisms.

This allows an unauthenticated attacker to:

  • Execute arbitrary SQL queries
  • Perform full database exfiltration
  • Extract sensitive data including administrator usernames, password hashes, session identifiers and user records
  • Potentially escalate privileges by cracking password hashes offline
  • Chain with authenticated vulnerabilities to achieve full system compromise

This vulnerability is classified as:

  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command (SQL Injection)

Patches

This vulnerability has been fixed in version 23.

Users must upgrade to version 23 or later.

Workarounds

There is no reliable workaround.

The only recommended mitigation is to upgrade immediately to version 23 upon its release.

References

Internal security report.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer wwbn/avideo <= 21.0.0 brak poprawki

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-89
Platforma
Composer
Paczka
wwbn/avideo
Ujawniono
02.03.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-pv87-r9qf-x56p - CC BY 4.0

Historia podatności: wwbn/avideo

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (160) w archiwum
Wszystkich wpisów
160
Pierwsza → ostatnia
04.2022 06.2026
Bez poprawki
143
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 14
  • Wysoka 61
  • Średnia 83
  • Niska 2

Ujawnienia w latach

Istotność:
  1. AVideo has Unauthenticated SQL Injection via JSON Request Bypass in objects/videos.json.php ten wpis
    Krytyczna · 9.8 CVE-2026-28501 <= 21.0.0 brak poprawki
  2. AVideo has an incomplete fix of CVE-2026-33482: sanitizeFFmpegCommand still allows a single '&' (background operator), giving OS command execution at the same execAsync sh -c sink
    Wysoka · 8.1 CVE-2026-55173 <= 29.0 brak poprawki
  3. AVideo Vulnerable to Unauthenticated .env File Exposure via Official Docker Compose Configuration
    Wysoka · 7.5 CVE-2026-33692 < 29.0 29.0
  4. WWBN AVideo: Unauthenticated Stored DOM Cross-Site Scripting via Per-Client Metadata Broadcast in YPTSocket Plugin
    Krytyczna · 9.6 CVE-2026-54458 <= 29.0 brak poprawki
  5. WWBN AVideo: Stored XSS via autoEvalCodeOnHTML Bypass in MessageSQLite WebSocket Handler (CVE-2026-43874 Bypass)
    Wysoka CVE-2026-49279 <= 29.0 brak poprawki
  6. WWBN AVideo: Authenticated wallet credit bypass in AuthorizeNet processPayment endpoint
    Wysoka · 4.3 CVE-2026-47696 <= 29.0 brak poprawki
  7. AVideo: OS command injection in on_publish.php execAsync via unescaped m3u8 URL
    Wysoka · 8.8 CVE-2026-45578 <= 29.0 brak poprawki
  8. AVideo's Meet plugin: `uploadRecordedVideo.json.php` derives `users_id` from the uploaded filename and calls passwordless `User->login()`, allowing any caller with the Meet shared secret to obtain a session as arbitrary users including admin
    Wysoka · 8.1 CVE-2026-56345 <= 29.0 brak poprawki
  9. AVideo Vulnerable to Exposure of Sensitive Information to an Unauthorized Actor and Missing Authorization
    Wysoka CVE-2026-43885 <= 29.0 brak poprawki
  10. AVideo has SSRF Protection Bypass via HTTP Redirect and DNS Rebinding in isSSRFSafeURL()
    Wysoka · 7.7 CVE-2026-43884 <= 29.0 brak poprawki
  11. AVideo has an Incomplete Fix for YPTSocket autoEvalCodeOnHTML Strip: Unauthenticated Cross-User JavaScript Execution via `$msg['json']` Relay Bypass
    Wysoka · 7.2 CVE-2026-43874 <= 29.0 brak poprawki
  12. AVideo: Unauthenticated Disclosure of CloneSite `myKey` via Error Echo in `cloneClient.json.php` Enables Cross-Site DB Dump of the Configured Clone Server
    Wysoka · 7.5 CVE-2026-43873 <= 29.0 brak poprawki
  13. WWBN AVideo: RCE cause by clonesite plugin
    Wysoka · 9.8 CVE-2026-41304 <= 29.0 brak poprawki
  14. WWBN AVideo has an incomplete fix for CVE-2026-33502: Command Injection
    Wysoka · 9.3 CVE-2026-41064 <= 29.0 brak poprawki
  15. WWBN AVideo has a SSRF via same-domain hostname with alternate port bypasses isSSRFSafeURL
    Wysoka · 7.7 CVE-2026-41060 <= 29.0 brak poprawki
  16. WWBN AVideo has a CORS Origin Reflection Bypass via plugin/API/router.php and allowOrigin(true) Exposes Authenticated API Responses
    Wysoka · 7.1 CVE-2026-41057 <= 29.0 brak poprawki
  17. WWBN AVideo has CORS Origin Reflection with Credentials on Sensitive API Endpoints Enables Cross-Origin Account Takeover
    Wysoka · 8.1 CVE-2026-41056 <= 29.0 brak poprawki
  18. WWBN AVideo has Multiple CSRF Vulnerabilities in Admin JSON Endpoints (Category CRUD, Plugin Update Script)
    Wysoka · 7.1 CVE-2026-40926 <= 29.0 brak poprawki
  19. WWBN AVideo has CSRF in configurationUpdate.json.php Enables Full Site Configuration Takeover Including Encoder URL and SMTP Credentials
    Wysoka · 8.3 CVE-2026-40925 <= 29.0 brak poprawki
  20. WWBN AVideo YPTSocket WebSocket Broadcast Relay Leads to Unauthenticated Cross-User JavaScript Execution via Client-Side eval() Sinks
    Krytyczna · 10.0 CVE-2026-40911 <= 29.0 brak poprawki
  21. WWBN AVideo has a Path Traversal in Locale Save Endpoint Enables Arbitrary PHP File Write to Any Web-Accessible Directory (RCE)
    Wysoka · 8.7 CVE-2026-40909 <= 29.0 brak poprawki
Pokaż więcej (20) Widać 21 z 75

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.