GeoWebPlayer (also called "Web Plugin" in the GV-VMS documentation and "WS Player" for VMS-Cloud)...
Summary
Vulnerability reported (CVE-2026-13125). Confidential information can be exposed externally. Exploitable via create.
Original description
The description as published by the source.
GeoWebPlayer (also called "Web Plugin" in the GV-VMS documentation and "WS Player" for VMS-Cloud) is an addon that can be installed with various GeoVision software (GV-VMS, GV-Cloud, ...). It creates a websocket server that expands the capabilities of the various web-interfaces provided by the GeoVision software and may be necessary for them to function properly.
In order to access the websocket server, no authentication is required. As such, any malicious website can attempt to open a connection to the server and potentially access sensitive APIs. In particular, it's possible to call a combination of the create method and getScreenCapture to retrieve the content of the user's screen.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
GeoWebPlayerアドオンにおける認証なしのWebSocketサーバーアクセスにより、脆弱性が発生しています。悪意のあるウェブサイトがサーバーへの接続を試み、プロセスを管理するAPIにアクセスできる可能性があります。これにより、ユーザーのスクリーンキャプチャを取得することが可能となります。
GeoWebPlayerのWebSocketサーバーへの認証なしアクセスの脆弱性。
GeoVisionソフトウェア（GV-VMS、GV-Cloud）で用いられるWebSocketサーバー。
ユーザーのスクリーンキャプチャを取得される可能性があるため、情報漏洩のリスクが高い。
WebSocketサーバーへの認証メカニズムを実装してアクセス制限を強化する。
情報なし
ウェブトラフィックを監視し、不正なWebSocket接続の試行を検出する。
References
- web geovision.com.tw
- web talosintelligence.com
- web nvd.nist.gov
- web github.com