CVE-2026-89148

AVideo, c3edcc274c389816d434acadac07ee78eaf330c1 commit'ine kadar olan sürümlerinde objects/playlistSort.php dosyasında bir açık yönlendirme (open redirect) içermektedir. Uç nokta bir *.json.php betiği olmadığı için AVideo'nun otomatik CSRF koruması (autoCSRFGuard()/forbidIfIsUntrustedRequest()) çalışmamaktadır ve istek sort parametresini içerdiğinde, betik isSafeRedirectURL() fonksiyonunu çağırmadan Location başlığını doğrulanmamış $_SERVER['HTTP_REFERER'] değeriyle ayarlamaktadır. Bu nedenle, kimliği doğrulanmamış uzak bir saldırgan, hedef çalma listesini yönetebilen oturumu açık bir kullanıcının, özel olarak hazırlanmış bir Referer ilelemen çapraz kökenli (cross-origin) bir POST isteği göndermesini sağlayabilir; bu durum kurbanın çalma listesinin yeniden sıralanmasına ve kurbanın tarayıcısının güvenilir bir AVideo URL'sinden saldırgan tarafından kontrol edilen bir oltalama sitesine yönlendirilmesine neden olur. Yama uygulanmış bir sürüm mevcut değildir.