CVE-2026-88875

AVideo c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) reviziyasına qədər olan versiyalarda APIName=video cavabındakı həssas istifadəçi sahələri tam təmizlənmir. Video sətirləri video sahibinin istifadəçi qeydindən birləşdirilmiş sütunları ehtiva edir və API::get_api_video() çağırışları removeSensitiveUserFields() funksiyasını yalnız çağıran şəxs autentifikasiya olunmadıqda və ya etibarlı API secret istifadə etmədikdə tətbiq edir; o, heç vaxt User::getId()-ni sətirin users_id dəyəri ilə müqayisə etmir. Nəticə etibarilə, aşağı imtiyazlı hər hansı autentifikasiya olunmuş hesab digər istifadəçinin videosunu tələb edə bilər və sahibinin e-poçt ünvanını, hesab adını (user), eləcə də isAdmin, canUpload və canStream bayraqlarını əldə edə bilər; bu məlumatlar qonaqlar üçün silinir və yalnız sahibə və ya etibarlı API secret-a malik çağıranlara qaytarılmalıdır. Məlumatlandırma zamanı heç bir yamalı versiya mövcud deyildi.