CVE-2025-34437
🟡 Monitoruj
Brak weryfikacji właściciela w AVideo umożliwia nieautoryzowane przesyłanie obrazów komentarzy.
CVSS
8.8
EPSS
0.4%
Exploit
none
Vendor
wwbn
Opis źródłowy (NVD)
AVideo versions prior to 20.1 permit any authenticated user to upload comment images to videos owned by other users. The endpoint validates authentication but omits ownership checks, allowing attackers to perform unauthorized uploads to arbitrary video objects.
brak
Brak patcha
Źródła i daty
| Źródło | Wartość |
|---|---|
| NVD – CVSS | 8.8 |
| CISA KEV (aktywnie wykorzystywane) | Nie |
| FIRST EPSS (prawdopodobieństwo exploita) | 0.4% |
| Opublikowano (NVD) | 2025-12-17 20:15:54 UTC |
| Ostatnia modyfikacja (NVD) | 2026-09-30 23:10:00 UTC |
Referencje
- https://chocapikk.com/posts/2025/avideo-security-vulnerabilities/ ([email protected])
- https://github.com/WWBN/AVideo/commit/4a53ab2056 ([email protected]) [Patch]
- https://github.com/WWBN/AVideo/commit/d411f91805 ([email protected]) [Patch]
- https://www.vulncheck.com/advisories/avideo-idor-arbitrary-comment-image-upload ([email protected]) [Third Party Advisory]