CVE-2026-126542
KrytyczneCVSS 9.8Streszczenie
WWBN AVideo w wersjach 6.5 do 29.7.1 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik poprzez nazwy wyświetlane w logowaniu społecznościowym Hybridauth. Atakujący może ustawić nazwę wyświetlaną w X, Facebook, Yahoo lub LinkedIn na nazwę użytkownika ofiary i pominąć e-mail, co powoduje zalogowanie jako to konto, w tym administratora, bez hasła.
Ocena ryzyka
Atakujący może przejąć kontrolę nad dowolnym kontem, w tym administracyjnym, bez znajomości hasła, co prowadzi do pełnego przejęcia systemu i dostępu do danych.
Rekomendacja
Zaktualizuj AVideo do wersji nowszej niż 29.7.1 lub wyłącz logowanie społecznościowe Hybridauth do czasu wdrożenia poprawki.
Inne podatności w WWBN AVideo
Zobacz wszystkie- CVE-2026-126545Średnie
WWBN AVideo do wersji 29.7.1 zawiera podatność braku autoryzacji w API::get_api_tags() w pliku plugin/API/API.php, która pozwala zarejestrowanym użytkownikom na dostęp do zastrzeżonych danych wideo poprzez zapytania do API tagów. Atakujący mogą uzyskać nazwy plików, tytuły i przechowywane wartości video_password dla filmów niepublicznych, ograniczonych grupą i chronionych hasłem.
- CVE-2026-126544Średnie
WWBN AVideo w wersjach od 6.5 do 29.7.1 zawiera podatność obejścia weryfikacji e-mail w User::verifyCode() w pliku objects/user.php, spowodowaną luźnym porównaniem PHP tokena recoverPass. Zarejestrowani użytkownicy mogą ponownie użyć soli instalacji z własnego linku weryfikacyjnego i spreparować kod z dowolnym users_id oraz recoverPass ustawionym na true, aby zweryfikować e-maile innych kont.
- CVE-2026-126543Wysokie
WWBN AVideo do wersji 29.7.1 zawiera podatność na nieprawidłową weryfikację płatności w plugin/PayPalYPT/ipnV2.php, która uznaje płatności z IPN PayPal niepowiązane z kontem sprzedawcy witryny. Nieuwierzytelnieni atakujący mogą przekazywać autentyczne zweryfikowane IPN płatności cyklicznych z własnego konta PayPal z wybranym users_id, aby dodawać saldo portfela w każdym cyklu rozliczeniowym.
- CVE-2026-126541Wysokie
WWBN AVideo do wersji 29.7.1 zawiera podatność na brak autoryzacji w punktach końcowych restream wtyczki Live, która pozwala uwierzytelnionym streamerom uzyskać klucze strumieni innych użytkowników poprzez podanie dowolnych wartości live_transmitions_history_id. Atakujący mogą wykorzystać wydane tokeny akcji w verifyTokenForAction.json.php, aby pobrać adresy URL HLS i klucze strumieni ofiar, a następnie publikować jako ofiara lub restreamować prywatne lub płatne transmisje.
- CVE-2026-89243Wysokie
WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność stored XSS w metodzie UserGroups::setGroup_name(), która nie sanityzuje danych wejściowych group_name. Administratorzy z uprawnieniem canAdminUserGroups mogą wstrzyknąć złośliwy HTML i JavaScript, który wykonuje się w przeglądarce innych administratorów odwiedzających interfejs zarządzania użytkownikami.
- CVE-2026-86190Krytyczne
WWBN AVideo zawiera podatność uszkodzonej kontroli dostępu w punktach końcowych videoViewsInfo, która zwraca kompletne rekordy użytkowników, w tym hashe haseł, tokeny odzyskiwania i identyfikatory sesji na żywo, nieuwierzytelnionym wywołującym po podaniu parametru hash. Atakujący mogą wykorzystać ujawniony identyfikator sesji do przejęcia sesji widzów, w tym kont administratorów, oraz uzyskać wrażliwe dane osobowe wszystkich widzów.
- CVE-2026-86189Krytyczne
WWBN AVideo zawiera podatność typu path traversal w pliku notify.ffmpeg.json.php, która pozwala nieuwierzytelnionym atakującym zapisywać pliki w dowolnych lokalizacjach poprzez podanie wybranego przez siebie ścieżki w parametrze avideoRelativePath. Atakujący mogą odtworzyć dowolny wcześniej wydany szyfrogram jako token notifyCode, który jest odszyfrowywany, ale nigdy nie weryfikowany, aby ominąć uwierzytelnianie i zapisywać pliki w katalogu głównym aplikacji i podkatalogach.
- CVE-2026-85154Krytyczne
WWBN AVideo zawiera podatność uwierzytelniania, gdzie poświadczenie video_id_hash jest nie wygasającym, nieodwołalnym tokenem typu bearer, który przyznaje pełny dostęp do sesji administratora na koncie właściciela wideo. Atakujący, którzy zdobędą video_id_hash, mogą go odtwarzać w nieskończoność, aby uwierzytelnić się jako właściciel wideo z pełnymi uprawnieniami, a poświadczenie pozostaje ważne nawet po zmianie hasła przez właściciela.
- CVE-2026-124424Wysokie
WWBN AVideo zawiera podatność na przejście ścieżki w plugin/AI/receiveAsync.json.php, która pozwala posiadaczom dowolnego ważnego tokenu AI zapisywać dowolne pliki .vtt poprzez wstrzykiwanie sekwencji przejścia do niesanityzowanego parametru response[lang]. Atakujący mogą wysłać żądanie type=translation z spreparowaną wartością lang, aby umieścić kontrolowaną przez atakującego treść w katalogu głównym serwera lub nadpisać pliki napisów innych użytkowników.
- CVE-2026-123486Średnie
WWBN AVideo w wersjach od 29.0 do 29.4.0 zawiera podatność na warunek wyścigu w pliku plugin/PayPalYPT/ipn.php, która pozwala atakującym obejść ochronę przed powtórzeniem IPN z powodu nieatomowego sprawdzania i wstawiania deduplikacji. Atakujący może jednocześnie powtórzyć przechwycone ważne powiadomienie o płatności cyklicznej, aby oba żądania przeszły isRecurringPaymentIdUsed(), uzyskując duplikaty kredytów portfela i odnowień subskrypcji.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo 6.5 through 29.7.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to log in as any user via Hybridauth social login display names. Attackers can set their X, Facebook, Yahoo or LinkedIn display name to a victim's username and withhold email, causing login.json.php or oauth2.php to log them in as that account, including administrators, without a password.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS