CVE-2025-34434
KrytyczneStreszczenie
AVideo w wersjach przed 20.1 z włączoną wtyczką ImageGallery jest podatny na nieuwierzytelnione przesyłanie i usuwanie plików. Punkty końcowe wtyczki odpowiedzialne za zarządzanie obrazami galerii nie egzekwują kontroli uwierzytelniania i nie walidują własności, co pozwala nieuwierzytelnionym atakującym na przesyłanie lub usuwanie obrazów związanych z dowolnym wideo opartym na obrazach.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanego przesyłania i usuwania plików, co może prowadzić do naruszenia integralności treści i potencjalnie do dalszych ataków.
Rekomendacja
Zaleca się aktualizację AVideo do wersji 20.1 lub nowszej oraz wyłączenie wtyczki ImageGallery, jeśli nie jest niezbędna, do czasu zastosowania poprawek.
Oryginalny opis (angielski, źródło NVD)
AVideo versions prior to 20.1 with the ImageGallery plugin enabled is vulnerable to unauthenticated file upload and deletion. Plugin endpoints responsible for managing gallery images fail to enforce authentication checks and do not validate ownership, allowing unauthenticated attackers to upload or delete images associated with any image-based video.