5.4
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
streama contains an insecure direct object reference vulnerability in ViewingStatusController that allows authenticated users to read and delete other users' viewing status records. Attackers can enumerate all users' watch progress, delete arbitrary viewing history, and manipulate other users' Continue Watching dashboards by supplying arbitrary primary keys without ownership verification.
Засегнати продукти
- streamaserver streama: преди 1fa79534ee09e25f2473cc4787b106996008a442
Вид слабост
История
- 13 август 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-73039
- https://nvd.nist.gov/vuln/detail/CVE-2026-73039
- https://github.com/streamaserver/streama/issues/1170
- https://github.com/streamaserver/streama
- https://github.com/streamaserver/streama/commit/1fa79534ee09e25f2473cc4787b106996008a442
- https://www.vulncheck.com/advisories/streama-insecure-direct-object-reference-via-viewingstatuscontroller