CVE-2026-46337
CVE-2026-46337 · WWBN AVideo: Unauthenticated Arbitrary Image Read via Path Traversal in `view/img/image404Raw.php`
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
WWBN AVideo is an open source video platform. In 29.0 and earlier, an unauthenticated remote attacker can read arbitrary image files anywhere on disk that the PHP user can open — including private user-profile photos that the application's normal serving wrappers gate behind ACLs, admin-uploaded thumbnails, encrypted-video poster frames, and image content under sibling-app directories reachable via .. traversal. The endpoint requires no authentication.
CVSS 6.9 · Moyenne · EPSS 0,5%
- Publication
- Mise à jour
Pile logicielle: php
Produits et versions concernés
avideo
- Versions du logiciel
- <= 29.0: Concernée
Aucun correctif publié
wwbn/avideo Packagist
- Plages de versions concernées
- ECOSYSTEM: ≤ 29.0
Aucun correctif publié