CVE-2026-126541
WysokieCVSS 8.1Streszczenie
WWBN AVideo do wersji 29.7.1 zawiera podatność na brak autoryzacji w punktach końcowych restream wtyczki Live, która pozwala uwierzytelnionym streamerom uzyskać klucze strumieni innych użytkowników poprzez podanie dowolnych wartości live_transmitions_history_id. Atakujący mogą wykorzystać wydane tokeny akcji w verifyTokenForAction.json.php, aby pobrać adresy URL HLS i klucze strumieni ofiar, a następnie publikować jako ofiara lub restreamować prywatne lub płatne transmisje.
Ocena ryzyka
Atakujący może przejąć transmisje innych użytkowników, publikować w ich imieniu i uzyskać dostęp do prywatnych lub płatnych treści.
Rekomendacja
Zaktualizuj AVideo do wersji nowszej niż 29.7.1 i ogranicz dostęp do punktów końcowych restream oraz weryfikuj uprawnienia do kluczy strumieni.
Inne podatności w WWBN AVideo
Zobacz wszystkie- CVE-2026-126545Średnie
WWBN AVideo do wersji 29.7.1 zawiera podatność braku autoryzacji w API::get_api_tags() w pliku plugin/API/API.php, która pozwala zarejestrowanym użytkownikom na dostęp do zastrzeżonych danych wideo poprzez zapytania do API tagów. Atakujący mogą uzyskać nazwy plików, tytuły i przechowywane wartości video_password dla filmów niepublicznych, ograniczonych grupą i chronionych hasłem.
- CVE-2026-126544Średnie
WWBN AVideo w wersjach od 6.5 do 29.7.1 zawiera podatność obejścia weryfikacji e-mail w User::verifyCode() w pliku objects/user.php, spowodowaną luźnym porównaniem PHP tokena recoverPass. Zarejestrowani użytkownicy mogą ponownie użyć soli instalacji z własnego linku weryfikacyjnego i spreparować kod z dowolnym users_id oraz recoverPass ustawionym na true, aby zweryfikować e-maile innych kont.
- CVE-2026-126543Wysokie
WWBN AVideo do wersji 29.7.1 zawiera podatność na nieprawidłową weryfikację płatności w plugin/PayPalYPT/ipnV2.php, która uznaje płatności z IPN PayPal niepowiązane z kontem sprzedawcy witryny. Nieuwierzytelnieni atakujący mogą przekazywać autentyczne zweryfikowane IPN płatności cyklicznych z własnego konta PayPal z wybranym users_id, aby dodawać saldo portfela w każdym cyklu rozliczeniowym.
- CVE-2026-89243Wysokie
WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność stored XSS w metodzie UserGroups::setGroup_name(), która nie sanityzuje danych wejściowych group_name. Administratorzy z uprawnieniem canAdminUserGroups mogą wstrzyknąć złośliwy HTML i JavaScript, który wykonuje się w przeglądarce innych administratorów odwiedzających interfejs zarządzania użytkownikami.
- CVE-2026-126542Krytyczne
WWBN AVideo w wersjach 6.5 do 29.7.1 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik poprzez nazwy wyświetlane w logowaniu społecznościowym Hybridauth. Atakujący może ustawić nazwę wyświetlaną w X, Facebook, Yahoo lub LinkedIn na nazwę użytkownika ofiary i pominąć e-mail, co powoduje zalogowanie jako to konto, w tym administratora, bez hasła.
- CVE-2026-86190Krytyczne
WWBN AVideo zawiera podatność uszkodzonej kontroli dostępu w punktach końcowych videoViewsInfo, która zwraca kompletne rekordy użytkowników, w tym hashe haseł, tokeny odzyskiwania i identyfikatory sesji na żywo, nieuwierzytelnionym wywołującym po podaniu parametru hash. Atakujący mogą wykorzystać ujawniony identyfikator sesji do przejęcia sesji widzów, w tym kont administratorów, oraz uzyskać wrażliwe dane osobowe wszystkich widzów.
- CVE-2026-86189Krytyczne
WWBN AVideo zawiera podatność typu path traversal w pliku notify.ffmpeg.json.php, która pozwala nieuwierzytelnionym atakującym zapisywać pliki w dowolnych lokalizacjach poprzez podanie wybranego przez siebie ścieżki w parametrze avideoRelativePath. Atakujący mogą odtworzyć dowolny wcześniej wydany szyfrogram jako token notifyCode, który jest odszyfrowywany, ale nigdy nie weryfikowany, aby ominąć uwierzytelnianie i zapisywać pliki w katalogu głównym aplikacji i podkatalogach.
- CVE-2026-85154Krytyczne
WWBN AVideo zawiera podatność uwierzytelniania, gdzie poświadczenie video_id_hash jest nie wygasającym, nieodwołalnym tokenem typu bearer, który przyznaje pełny dostęp do sesji administratora na koncie właściciela wideo. Atakujący, którzy zdobędą video_id_hash, mogą go odtwarzać w nieskończoność, aby uwierzytelnić się jako właściciel wideo z pełnymi uprawnieniami, a poświadczenie pozostaje ważne nawet po zmianie hasła przez właściciela.
- CVE-2026-124424Wysokie
WWBN AVideo zawiera podatność na przejście ścieżki w plugin/AI/receiveAsync.json.php, która pozwala posiadaczom dowolnego ważnego tokenu AI zapisywać dowolne pliki .vtt poprzez wstrzykiwanie sekwencji przejścia do niesanityzowanego parametru response[lang]. Atakujący mogą wysłać żądanie type=translation z spreparowaną wartością lang, aby umieścić kontrolowaną przez atakującego treść w katalogu głównym serwera lub nadpisać pliki napisów innych użytkowników.
- CVE-2026-123486Średnie
WWBN AVideo w wersjach od 29.0 do 29.4.0 zawiera podatność na warunek wyścigu w pliku plugin/PayPalYPT/ipn.php, która pozwala atakującym obejść ochronę przed powtórzeniem IPN z powodu nieatomowego sprawdzania i wstawiania deduplikacji. Atakujący może jednocześnie powtórzyć przechwycone ważne powiadomienie o płatności cyklicznej, aby oba żądania przeszły isRecurringPaymentIdUsed(), uzyskując duplikaty kredytów portfela i odnowień subskrypcji.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo through 29.7.1 contains a missing authorization vulnerability in Live plugin restream endpoints that allows authenticated streamers to obtain other users' stream keys by supplying arbitrary live_transmitions_history_id values. Attackers can redeem the issued action tokens at verifyTokenForAction.json.php to retrieve victims' HLS URLs and stream keys, then publish as the victim or restream private or pay-per-view lives.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS