AVideo /objects/categories.json.php SQL 注入漏洞（CVE-2026-33352）

AVideo 是 WWBN（web applications network）团队开发的开源视频平台，采用 PHP 与 MySQL/MariaDB 架构，支持视频直播、点播、内容管理与直播分发，被教育机构、企业门户、直播运营团队以及自建媒体站点广泛用于搭建一站式音视频内容站点。该产品分类列表接口（内部查询位于 objects/category.php 的 getAllCategories 方法）存在SQL注入漏洞，未经身份验证的远程攻击者可利用该漏洞对数据库执行任意 SQL 查询，逐字节提取用户账号、密码哈希、邮箱、视频元数据及站点配置等敏感数据。