CVE-2026-33731
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W WWBN AVideo przed wersją 29.0 odkryto podatność w handlerze webhook Authorize.Net, która pozwala atakującemu na ominięcie weryfikacji podpisu i sfałszowanie żądań webhook z dowolnymi kwotami płatności oraz identyfikatorami użytkowników. Atakujący może zasilić portfel dowolnego użytkownika bez rzeczywistej płatności, a także aktywować subskrypcje premium, co prowadzi do bezpłatnego dostępu do płatnych treści i strat finansowych.
Ocena ryzyka
Organizacja narażona jest na bezpośrednie straty finansowe z powodu możliwości kredytowania portfeli użytkowników bez rzeczywistych płatności oraz udostępniania płatnych treści bez opłat. Może to również naruszyć integralność systemu płatności i zaufanie użytkowników.
Rekomendacja
Należy natychmiast zaktualizować WWBN AVideo do wersji 29.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność. Przed aktualizacją warto tymczasowo wyłączyć lub ograniczyć dostęp do endpointu webhook Authorize.Net.
Inne podatności w WWBN AVideo
Zobacz wszystkie- CVE-2026-43885Wysokie
WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.
- CVE-2026-55173Wysokie
WWBN AVideo w wersjach 29.0 i starszych jest podatny na wstrzykiwanie poleceń systemu operacyjnego. Poprawka dla CVE-2026-33482 była niekompletna i nie usuwa pojedynczego znaku & (operatora tła powłoki), co pozwala na łączenie wielu poleceń.
- CVE-2026-33684Średnie
Podatność w WWBN AVideo przed wersją 29.0 umożliwia eskalację uprawnień poprzez niechronione parametry w API rejestracji. Każdy użytkownik, który rozwiąże CAPTCHA, może samodzielnie nadać sobie podwyższone uprawnienia, takie jak potwierdzenie e-maila, możliwość przesyłania plików, strumieniowania i tworzenia spotkań.
- CVE-2026-47696Średnie
W platformie WWBN AVideo w wersji 29.0 i wcześniejszych, endpoint plugin/AuthorizeNet/processPayment.json.php dodaje środki do portfela zalogowanego użytkownika na podstawie parametru amount przesłanego przez atakującego, bez walidacji transakcji Authorize.Net. Pozwala to każdemu zalogowanemu użytkownikowi na dodanie dowolnych środków do swojego portfela AVideo.
- CVE-2026-47694Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych przechowuje opisy kategorii pochodzące od użytkownika i renderuje je jako surowy HTML w widoku Galerii. Użytkownik z możliwością tworzenia lub edycji kategorii może przechowywać JavaScript w opisie kategorii, który wykonuje się podczas przeglądania strony kategorii przez innego użytkownika. Jest to podatność na atak XSS (stored) w polu opisu kategorii.
- CVE-2026-46337Średnie
WWBN AVideo to otwarta platforma wideo. W wersji 29.0 i wcześniejszych, nieuwierzytelniony zdalny atakujący może odczytać dowolne pliki graficzne na dysku, które użytkownik PHP może otworzyć – w tym prywatne zdjęcia profilowe, miniatury przesłane przez administratora, ramki plakatów zaszyfrowanych filmów oraz treści graficzne z katalogów aplikacji podrzędnych dostępne poprzez nawigację .. . Endpoint nie wymaga uwierzytelnienia.
- CVE-2026-45731Średnie
W platformie WWBN AVideo (wersje 29.0 i wcześniejsze) skrypt view/update.php odczytuje parametr $_POST['updateFile'] jako względną ścieżkę w katalogu updatedb/ i przekazuje go do funkcji PHP file() w celu wykonania linia po linii jako część migracji bazy danych. Uwierzytelniony administrator może to wykorzystać do odczytu dowolnych plików tekstowych dostępnych z procesu serwera WWW.
- CVE-2026-45620Średnie
W WWBN AVideo w wersji 29.0 i wcześniejszych, plik objects/mention.json.php nie ma sprawdzania uwierzytelnienia ani bramy administracyjnej. Posiada jedynie prostą kontrolę wejścia: preg_match('/^@/', $_REQUEST['term']) i zakodowaną na stałe wartość rowCount=10. Umożliwia to nieuwierzytelnionemu atakującemu enumerację użytkowników.
- CVE-2026-45619Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych nie używa parametru wyjściowego $resolvedIP funkcji isSSRFSafeURL() do przypinania DNS przez CURLOPT_RESOLVE w plikach EpgParser.php, plugin/AI/receiveAsync.json.php i innych. Otwiera to lukę DNS-rebinding TOCTOU.
- CVE-2026-45610Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w przełączniku uwierzytelniania dwuskładnikowego (2FA). Atakujący może wykorzystać ukryty formularz lub żądanie fetch bez poświadczeń, aby wyłączyć 2FA ofiary za pomocą jednego żądania POST.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions prior to 29.0, the Authorize.Net webhook handler at plugin/AuthorizeNet/webhook.php contains a signature verification bypass that allows an attacker to forge webhook requests with arbitrary payment amounts and target user IDs. By supplying a valid transaction ID from a small legitimate purchase, the attacker bypasses signature validation and credits arbitrary wallet balances to any user account via attacker-controlled payload fields. Three flaws combine into an exploit chain: signature bypass via OR logic (webhook.php:33), payload values override API-fetched values (AuthorizeNet.php:169-171, webhook.php:44-48) and a missing approval check (webhook.php:61-75). By forging payment metadata, an attacker can credit arbitrary amounts to any user's wallet without a corresponding payment and include a plans_id to activate premium subscriptions (webhook.php:86-134), enabling free access to all paid and premium content and causing direct revenue loss to the platform owner. This issue has been fixed in version 29.0.