CVE-2026-22800PILOS是BigBlueButton的交互式在线研讨会前端平台，在4.10.0之前的版本中存在一处跨站请求伪造（CSRF）漏洞。该漏洞存在于管理API端点中，该端点负责终止服务器上所有活动的视频会议。问题根源在于执行破坏性操作的端点暴露在HTTP GET请求中，虽然端点实施了正确的授权检查且无法被跨站触发，但由于使用GET方法，允许通过同站点内容（如嵌入在应用内的资源）隐式调用此操作。攻击者可通过社会工程学手段，诱使已认证的管理员在应用内查看特制内容，从而在管理员不知情或未经明确确认的情况下触发端点，导致服务器上所有活动视频会议被意外终止。此漏洞对系统可用性造成影响，但不影响机密性和完整性。漏洞已于4.10.0版本中修复。
漏洞根源在于PILOS应用的管理API端点违反了安全最佳实践，将破坏性操作（终止所有视频会议）暴露在HTTP GET请求方法中。正常情况下，GET请求应当仅用于获取数据，不应执行状态变更操作。攻击者可以利用以下方式触发漏洞：1）构造包含恶意链接或自动加载资源的HTML页面；2）将该页面嵌入到已认证管理员访问的同源应用中；3）当管理员访问该内容时，浏览器会自动携带有效的会话Cookie向目标端点发送GET请求；4）服务器端正确验证了用户权限（需要管理员权限），但无法区分请求是用户主动发起还是被诱导发起。由于授权检查通过，请求被执行，导致所有活动视频会议被终止。此攻击的利用条件相对苛刻，需要管理员主动访问攻击者构造的内容，但由于使用了GET方法，系统无法实施CSRF令牌等标准防护机制。