CVE-2026-88874

AVideo c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) reviziyasına qədər olan versiyalarda stats son nöqtəsində və ya HLS origin-də canlı yayım şifrə yoxlaması tətbiq edilmir. Live::_getStats() (plugin/Live/Live.php) funksiyası həm ictimai tətbiqlər siyahısında, həm də canSeeLiveFromLiveKey() uğursuz olduqda istifadə edilən hidden_applications budağında autentifikasiya olunmamış çağırıcılara şifrə ilə qorunan yayımın RTMP axın açarını, isPasswordProtected bayrağını və HLS (m3u8) URL-ni qaytarır. Bundan əlavə, təmin edilən NGINX konfiqurasiyası (deploy/nginx/nginx.conf) .m3u8 pleylistini, AES-128 açarını və transport-stream seqmentlərini heç bir auth_request olmadan /live yerindən təqdim edir (.key yerindəki auth_key_check direktivi şərhə alınıb). Buna görə də uzaqdakı, autentifikasiya olunmamış hücumçu axın açarını və dekripsiya açarını əldə edə bilər və konfiqurasiya edilmiş şifrəni daxil etmədən şifrə ilə qorunan canlı yayımı izləyə bilər. Xəbərdarlıq zamanı heç bir yamalı versiya mövcud deyildi.