CVE-2026-82645

AVideo (güncel commit e01e41ecc ve öncesi), plugin/Live/view/Live_restreams/getLiveKey.json.php uç noktası üzerinden yayın kimlik bilgilerini açığa çıkarmaktadır. Bir 'token' istek parametresinin sağlanması, hem Live::canRestream() erişim kapısını hem de yeniden yayın sahipliği kontrolünü devre dışı bırakarak; uç noktanın herhangi bir yeniden yayının stream_key ve stream_url değerlerini (YouTube, Facebook ve Twitch gibi harici platformlar için kimlik bilgileri) kimlik doğrulaması olmaksızın döndürmesine neden olur. Token, kullanıcı bağlamı, son kullanma tarihi veya kimlik doğrulama etiketi olmayan bir tamsayı id'nin yalnızca encryptString() işlemidir. Şifreleme işlemi deterministik bir IV ile AES-256-CBC kullandığı ve MAC içermediği için, ayrıca intval() rakamla başlayan her türlü dizgeyi kabul ettiği için, kimliği doğrulanmamış bir saldırgan view/url2Embed.json.php içerisindeki genel şifreleme orakelini kullanarak geçerli tokenlar oluşturabilir ve rastgele kullanıcıların yayın kimlik bilgilerini ifşa edebilir.