CVE-2026-89257

AVideo 29.0 ve öncesi sürümler, objects/categoryDeleteAssets.json.php dosyasında güvensiz doğrudan nesne referansı (IDOR) zafiyeti içermektedir. Uç nokta, saldırgan tarafından sağlanan $_REQUEST['id'] değerini, {systemRootPath}videos/categories/assets/{id}/ dizinini özyinelemeli olarak silen Category::deleteAssets() fonksiyonuna iletmeden önce yalnızca Category::canCreateCategory() yeteneğini ve bir CSRF nonce değerini doğrulamaktadır. Bu işlem sırasında, kardeş fonksiyon olan Category::delete() tarafından uygulanan Category::userCanEditCategory() sahiplik kontrolü atlanmaktadır. Varsayılan olmayan usersCanCreateNewCategories ayarının etkin olduğu kurulumlarda, canUpload yeteneğine sahip kimliği doğrulanmış yönetici olmayan bir kullanıcı, rastgele bir kategori kimliği içeren bir POST isteği göndererek herhangi bir kategorinin disk üzerindeki varlık dizinini (ikonlar/resimler) özyinelemeli olarak silebilir. Kategori kayıtları ve videolar silinmemektedir. Güvenlik duyurusunun yayınlandığı tarih itibarıyla yamalanmış bir sürüm mevcut değildir.