PT-2026-29358 · Avideo · Avideo

Adrgs · Publicado 2026-03-31 · Atualizado 2026-04-01 · CVE-2026-34611

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas AVideo versões 26.0 e anteriores

Descrição A plataforma AVideo, nas versões 26.0 e anteriores, apresenta uma falha no endpoint objects/emailAllUsers.json.php. Este endpoint permite que administradores enviem e-mails HTML para todos os usuários registrados. O endpoint verifica o status da sessão do administrador, mas não valida um token CSRF. Como o AVideo define SameSite=None nos cookies de sessão, uma solicitação POST de origem cruzada de uma página controlada por um invasor incluirá automaticamente o cookie de sessão do administrador. Um invasor pode induzir um administrador a visitar uma página maliciosa e, em seguida, enviar um e-mail HTML arbitrário para todos os usuários da plataforma, parecendo vir do endereço SMTP legítimo da instância.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-34611

GHSA-C4XJ-X7P8-3X7Q

Produtos afetados

Avideo

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/34xxx/CVE-2026-34611.json · Exploit
• 🔥 https://github.com/WWBN/AVideo/security/advisories/GHSA-c4xj-x7p8-3x7q · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/226ad24a51edac57e079ac92ca95c82e1e23e3cf · Nota
• https://osv.dev/vulnerability/CVE-2026-34611 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-c4xj-x7p8-3x7q · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34611 · Nota de Segurança
• https://twitter.com/CVEnew/status/2039372124599558520 · Publicação no Twitter