CVE-2026-65054
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
MediaCMS 8.2.0 zawiera podatność na ujawnienie informacji, która pozwala uwierzytelnionym użytkownikom na dostęp do prywatnych metadanych multimediów innych użytkowników poprzez dodanie tokenów medialnych do własnej playlisty bez kontroli dostępu. Atakujący może wysłać żądanie PUT do API playlisty z znanym tokenem, a następnie odczytać prywatne pola, takie jak tytuł, opis, liczba wyświetleń, rozmiar pliku i nazwa autora.
Ocena ryzyka
Ujawnienie prywatnych metadanych może prowadzić do naruszenia prywatności użytkowników i wycieku informacji o treściach niepublicznych.
Rekomendacja
Należy zaktualizować MediaCMS do wersji powyżej 8.2.0 lub zastosować łatkę, która wprowadza kontrolę dostępu przy dodawaniu tokenów do playlisty.
Oryginalny opis (angielski, źródło NVD)
MediaCMS 8.2.0 contains an information disclosure vulnerability that allows authenticated users to expose private media metadata belonging to other users by adding arbitrary media tokens to their own playlist without access control checks. Attackers can issue a PUT request to the playlist API endpoint with a known media token to bypass state and ownership validation, then retrieve the playlist to read private media fields including title, description, view count, like count, file size, author username, and encoding status through the unfiltered playlist owner branch in the playlist detail view.