CVE-2026-126544

WWBN AVideo do wersji 29.7.1 zawiera podatność braku autoryzacji w API::get_api_tags() w pliku plugin/API/API.php, która pozwala zarejestrowanym użytkownikom na dostęp do zastrzeżonych danych wideo poprzez zapytania do API tagów. Atakujący mogą uzyskać nazwy plików, tytuły i przechowywane wartości video_password dla filmów niepublicznych, ograniczonych grupą i chronionych hasłem.

WWBN AVideo do wersji 29.7.1 zawiera podatność na nieprawidłową weryfikację płatności w plugin/PayPalYPT/ipnV2.php, która uznaje płatności z IPN PayPal niepowiązane z kontem sprzedawcy witryny. Nieuwierzytelnieni atakujący mogą przekazywać autentyczne zweryfikowane IPN płatności cyklicznych z własnego konta PayPal z wybranym users_id, aby dodawać saldo portfela w każdym cyklu rozliczeniowym.

WWBN AVideo do wersji 29.7.1 zawiera podatność na brak autoryzacji w punktach końcowych restream wtyczki Live, która pozwala uwierzytelnionym streamerom uzyskać klucze strumieni innych użytkowników poprzez podanie dowolnych wartości live_transmitions_history_id. Atakujący mogą wykorzystać wydane tokeny akcji w verifyTokenForAction.json.php, aby pobrać adresy URL HLS i klucze strumieni ofiar, a następnie publikować jako ofiara lub restreamować prywatne lub płatne transmisje.

WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność stored XSS w metodzie UserGroups::setGroup_name(), która nie sanityzuje danych wejściowych group_name. Administratorzy z uprawnieniem canAdminUserGroups mogą wstrzyknąć złośliwy HTML i JavaScript, który wykonuje się w przeglądarce innych administratorów odwiedzających interfejs zarządzania użytkownikami.

WWBN AVideo w wersjach 6.5 do 29.7.1 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik poprzez nazwy wyświetlane w logowaniu społecznościowym Hybridauth. Atakujący może ustawić nazwę wyświetlaną w X, Facebook, Yahoo lub LinkedIn na nazwę użytkownika ofiary i pominąć e-mail, co powoduje zalogowanie jako to konto, w tym administratora, bez hasła.

WWBN AVideo zawiera podatność uszkodzonej kontroli dostępu w punktach końcowych videoViewsInfo, która zwraca kompletne rekordy użytkowników, w tym hashe haseł, tokeny odzyskiwania i identyfikatory sesji na żywo, nieuwierzytelnionym wywołującym po podaniu parametru hash. Atakujący mogą wykorzystać ujawniony identyfikator sesji do przejęcia sesji widzów, w tym kont administratorów, oraz uzyskać wrażliwe dane osobowe wszystkich widzów.

WWBN AVideo zawiera podatność typu path traversal w pliku notify.ffmpeg.json.php, która pozwala nieuwierzytelnionym atakującym zapisywać pliki w dowolnych lokalizacjach poprzez podanie wybranego przez siebie ścieżki w parametrze avideoRelativePath. Atakujący mogą odtworzyć dowolny wcześniej wydany szyfrogram jako token notifyCode, który jest odszyfrowywany, ale nigdy nie weryfikowany, aby ominąć uwierzytelnianie i zapisywać pliki w katalogu głównym aplikacji i podkatalogach.

WWBN AVideo zawiera podatność uwierzytelniania, gdzie poświadczenie video_id_hash jest nie wygasającym, nieodwołalnym tokenem typu bearer, który przyznaje pełny dostęp do sesji administratora na koncie właściciela wideo. Atakujący, którzy zdobędą video_id_hash, mogą go odtwarzać w nieskończoność, aby uwierzytelnić się jako właściciel wideo z pełnymi uprawnieniami, a poświadczenie pozostaje ważne nawet po zmianie hasła przez właściciela.

WWBN AVideo zawiera podatność na przejście ścieżki w plugin/AI/receiveAsync.json.php, która pozwala posiadaczom dowolnego ważnego tokenu AI zapisywać dowolne pliki .vtt poprzez wstrzykiwanie sekwencji przejścia do niesanityzowanego parametru response[lang]. Atakujący mogą wysłać żądanie type=translation z spreparowaną wartością lang, aby umieścić kontrolowaną przez atakującego treść w katalogu głównym serwera lub nadpisać pliki napisów innych użytkowników.

WWBN AVideo w wersjach od 29.0 do 29.4.0 zawiera podatność na warunek wyścigu w pliku plugin/PayPalYPT/ipn.php, która pozwala atakującym obejść ochronę przed powtórzeniem IPN z powodu nieatomowego sprawdzania i wstawiania deduplikacji. Atakujący może jednocześnie powtórzyć przechwycone ważne powiadomienie o płatności cyklicznej, aby oba żądania przeszły isRecurringPaymentIdUsed(), uzyskując duplikaty kredytów portfela i odnowień subskrypcji.