CVE-2026-33684
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w WWBN AVideo przed wersją 29.0 umożliwia eskalację uprawnień poprzez niechronione parametry w API rejestracji. Każdy użytkownik, który rozwiąże CAPTCHA, może samodzielnie nadać sobie podwyższone uprawnienia, takie jak potwierdzenie e-maila, możliwość przesyłania plików, strumieniowania i tworzenia spotkań.
Ocena ryzyka
Atakujący mogą ominąć kontrolę dostępu administratora, uzyskując nieautoryzowane uprawnienia, co prowadzi do naruszenia integralności i poufności platformy oraz potencjalnego wykorzystania zasobów bez zgody.
Rekomendacja
Niezwłocznie zaktualizuj WWBN AVideo do wersji 29.0 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w WWBN AVideo
Zobacz wszystkie- CVE-2026-43885Wysokie
WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.
- CVE-2026-55173Wysokie
WWBN AVideo w wersjach 29.0 i starszych jest podatny na wstrzykiwanie poleceń systemu operacyjnego. Poprawka dla CVE-2026-33482 była niekompletna i nie usuwa pojedynczego znaku & (operatora tła powłoki), co pozwala na łączenie wielu poleceń.
- CVE-2026-33731Średnie
W WWBN AVideo przed wersją 29.0 odkryto podatność w handlerze webhook Authorize.Net, która pozwala atakującemu na ominięcie weryfikacji podpisu i sfałszowanie żądań webhook z dowolnymi kwotami płatności oraz identyfikatorami użytkowników. Atakujący może zasilić portfel dowolnego użytkownika bez rzeczywistej płatności, a także aktywować subskrypcje premium, co prowadzi do bezpłatnego dostępu do płatnych treści i strat finansowych.
- CVE-2026-47696Średnie
W platformie WWBN AVideo w wersji 29.0 i wcześniejszych, endpoint plugin/AuthorizeNet/processPayment.json.php dodaje środki do portfela zalogowanego użytkownika na podstawie parametru amount przesłanego przez atakującego, bez walidacji transakcji Authorize.Net. Pozwala to każdemu zalogowanemu użytkownikowi na dodanie dowolnych środków do swojego portfela AVideo.
- CVE-2026-47694Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych przechowuje opisy kategorii pochodzące od użytkownika i renderuje je jako surowy HTML w widoku Galerii. Użytkownik z możliwością tworzenia lub edycji kategorii może przechowywać JavaScript w opisie kategorii, który wykonuje się podczas przeglądania strony kategorii przez innego użytkownika. Jest to podatność na atak XSS (stored) w polu opisu kategorii.
- CVE-2026-46337Średnie
WWBN AVideo to otwarta platforma wideo. W wersji 29.0 i wcześniejszych, nieuwierzytelniony zdalny atakujący może odczytać dowolne pliki graficzne na dysku, które użytkownik PHP może otworzyć – w tym prywatne zdjęcia profilowe, miniatury przesłane przez administratora, ramki plakatów zaszyfrowanych filmów oraz treści graficzne z katalogów aplikacji podrzędnych dostępne poprzez nawigację .. . Endpoint nie wymaga uwierzytelnienia.
- CVE-2026-45731Średnie
W platformie WWBN AVideo (wersje 29.0 i wcześniejsze) skrypt view/update.php odczytuje parametr $_POST['updateFile'] jako względną ścieżkę w katalogu updatedb/ i przekazuje go do funkcji PHP file() w celu wykonania linia po linii jako część migracji bazy danych. Uwierzytelniony administrator może to wykorzystać do odczytu dowolnych plików tekstowych dostępnych z procesu serwera WWW.
- CVE-2026-45620Średnie
W WWBN AVideo w wersji 29.0 i wcześniejszych, plik objects/mention.json.php nie ma sprawdzania uwierzytelnienia ani bramy administracyjnej. Posiada jedynie prostą kontrolę wejścia: preg_match('/^@/', $_REQUEST['term']) i zakodowaną na stałe wartość rowCount=10. Umożliwia to nieuwierzytelnionemu atakującemu enumerację użytkowników.
- CVE-2026-45619Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych nie używa parametru wyjściowego $resolvedIP funkcji isSSRFSafeURL() do przypinania DNS przez CURLOPT_RESOLVE w plikach EpgParser.php, plugin/AI/receiveAsync.json.php i innych. Otwiera to lukę DNS-rebinding TOCTOU.
- CVE-2026-45610Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w przełączniku uwierzytelniania dwuskładnikowego (2FA). Atakujący może wykorzystać ukryty formularz lub żądanie fetch bez poświadczeń, aby wyłączyć 2FA ofiary za pomocą jednego żądania POST.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. Prior to version 29.0, Privilege Escalation is possible through unguarded permission parameters in signUp API, which allows any user who can solve a CAPTCHA to self-grant elevated permissions during account registration. The set_api_signUp method in the API plugin accepts emailVerified, canUpload, canStream, and canCreateMeet parameters from user-supplied input and applies them to newly created accounts without verifying that the request was authenticated with a valid APISecret. By self-granting account attributes, attackers can mark their own accounts as email-verified without owning the address (bypassing email-gated functionality) and award themselves upload, streaming, and meeting-creation permissions, circumventing administrator access controls that intentionally restrict these capabilities for new users. This issue has been fixed in version 29.0