CVE-2026-114634

WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność stored XSS w metodzie UserGroups::setGroup_name(), która nie sanityzuje danych wejściowych group_name. Administratorzy z uprawnieniem canAdminUserGroups mogą wstrzyknąć złośliwy HTML i JavaScript, który wykonuje się w przeglądarce innych administratorów odwiedzających interfejs zarządzania użytkownikami.

WWBN AVideo zawiera podatność uszkodzonej kontroli dostępu w punktach końcowych videoViewsInfo, która zwraca kompletne rekordy użytkowników, w tym hashe haseł, tokeny odzyskiwania i identyfikatory sesji na żywo, nieuwierzytelnionym wywołującym po podaniu parametru hash. Atakujący mogą wykorzystać ujawniony identyfikator sesji do przejęcia sesji widzów, w tym kont administratorów, oraz uzyskać wrażliwe dane osobowe wszystkich widzów.

WWBN AVideo zawiera podatność typu path traversal w pliku notify.ffmpeg.json.php, która pozwala nieuwierzytelnionym atakującym zapisywać pliki w dowolnych lokalizacjach poprzez podanie wybranego przez siebie ścieżki w parametrze avideoRelativePath. Atakujący mogą odtworzyć dowolny wcześniej wydany szyfrogram jako token notifyCode, który jest odszyfrowywany, ale nigdy nie weryfikowany, aby ominąć uwierzytelnianie i zapisywać pliki w katalogu głównym aplikacji i podkatalogach.

WWBN AVideo zawiera podatność uwierzytelniania, gdzie poświadczenie video_id_hash jest nie wygasającym, nieodwołalnym tokenem typu bearer, który przyznaje pełny dostęp do sesji administratora na koncie właściciela wideo. Atakujący, którzy zdobędą video_id_hash, mogą go odtwarzać w nieskończoność, aby uwierzytelnić się jako właściciel wideo z pełnymi uprawnieniami, a poświadczenie pozostaje ważne nawet po zmianie hasła przez właściciela.

WWBN AVideo w wersjach przed 29.5.0 zawiera podatność typu local file inclusion, która pozwala nieuwierzytelnionym atakującym dołączyć pliki PHP spoza katalogu locale poprzez spreparowany nagłówek Accept-Language. Atakujący mogą użyć nakładających się sekwencji przejścia, takich jak ....//, aby obejść jednoprzebiegowe usuwanie w setLanguage() i wykonać istniejące pliki PHP po stronie serwera w kontekście aplikacji.

WWBN AVideo w wersjach od 26.0 do 29.3.0 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym komentującym wstrzyknąć JavaScript, ponieważ funkcja markDownToHTML() zachowuje atrybuty obsługi zdarzeń w wiodących blokach HTML. Atakujący może opublikować komentarz zaczynający się od znacznika img z obsługą onerror, co omija sanitizer inline i wykonuje się w przeglądarkach widzów w kontekście aplikacji.

WWBN AVideo przed wersją 24.0 zawiera podatność cross-site request forgery w starszych endpointach, takich jak playlistStatus.php, które omijają sprawdzenie autoCSRFGuard() ograniczone do .json.php. Atakujący mogą zwabić zalogowanych użytkowników na stronę z automatycznie wysyłającym się formularzem, aby upublicznić prywatne playlisty, usunąć filmy z playlisty lub sfałszować sugestie wideo.

WWBN AVideo do wersji 29.2.0 zawiera podatność stored cross-site scripting, która pozwala użytkownikom z uprawnieniami do przesyłania plików na wstrzyknięcie skryptu poprzez ustawienie złośliwego adresu URL trailera wideo. Wartość jest renderowana bez escapowania w szablonach YouPHPFlix2 i playlistach kanałów, co pozwala atakującym na wyjście poza atrybuty onclick lub src iframe i wykonanie JavaScript w przeglądarkach ofiar.

WWBN AVideo 12.4 do 29.2.0 zawiera podatność stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom przesyłającym pliki na wstrzyknięcie HTML poprzez wysyłanie podwójnie zakodowanych encji w tytułach wideo. Ponieważ funkcja safeString() usuwa tagi przed dekodowaniem encji i jest uruchamiana dwukrotnie przez setTitle() i save(), atakujący mogą przechowywać znaczniki, które wykonują się na stronach trendów, galerii, osadzania i playlist.

WWBN AVideo do commita e01e41ecc zawiera błąd kontroli dostępu w objects/userVerifyEmail.php. Skrypt wyłącza wymóg logowania, pobiera users_id bezpośrednio z query stringa i wywołuje User::sendVerificationLink() bez sesji, tokenu CSRF, sprawdzenia relacji czy limitu szybkości, co pozwala nieuwierzytelnionemu atakującemu wysyłać dowolną liczbę e-maili weryfikacyjnych, enumerować konta i zapisywać tokeny odzyskiwania hasła na kontach ofiar.