CVE-2026-34394
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
WWBN AVideo w wersjach do 26.0 włącznie nie waliduje tokena CSRF w punkcie końcowym konfiguracji wtyczek admina (admin/save.json.php). W połączeniu z polityką SameSite=None atakujący może sfałszować żądania POST z innej domeny i nadpisać dowolne ustawienia wtyczek na sesji administratora. Obejście kontroli dostępu na poziomie tabeli umożliwia pełne przejęcie platformy.
Ocena ryzyka
Atakujący może zmienić konfigurację procesorów płatności, dostawców uwierzytelniania, poświadczenia chmury itp., co prowadzi do całkowitego przejęcia funkcjonalności platformy i potencjalnej kradzieży danych.
Rekomendacja
Natychmiast zaktualizuj AVideo do wersji zawierającej poprawkę CSRF. Jeśli nie jest dostępna, zastosuj tymczasowe reguły WAF blokujące żądania POST do admin/save.json.php z zewnętrznych domen.
Inne podatności w WWBN AVideo
Zobacz wszystkie- CVE-2026-43885Wysokie
WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.
- CVE-2026-55173Wysokie
WWBN AVideo w wersjach 29.0 i starszych jest podatny na wstrzykiwanie poleceń systemu operacyjnego. Poprawka dla CVE-2026-33482 była niekompletna i nie usuwa pojedynczego znaku & (operatora tła powłoki), co pozwala na łączenie wielu poleceń.
- CVE-2026-33731Średnie
W WWBN AVideo przed wersją 29.0 odkryto podatność w handlerze webhook Authorize.Net, która pozwala atakującemu na ominięcie weryfikacji podpisu i sfałszowanie żądań webhook z dowolnymi kwotami płatności oraz identyfikatorami użytkowników. Atakujący może zasilić portfel dowolnego użytkownika bez rzeczywistej płatności, a także aktywować subskrypcje premium, co prowadzi do bezpłatnego dostępu do płatnych treści i strat finansowych.
- CVE-2026-33684Średnie
Podatność w WWBN AVideo przed wersją 29.0 umożliwia eskalację uprawnień poprzez niechronione parametry w API rejestracji. Każdy użytkownik, który rozwiąże CAPTCHA, może samodzielnie nadać sobie podwyższone uprawnienia, takie jak potwierdzenie e-maila, możliwość przesyłania plików, strumieniowania i tworzenia spotkań.
- CVE-2026-47696Średnie
W platformie WWBN AVideo w wersji 29.0 i wcześniejszych, endpoint plugin/AuthorizeNet/processPayment.json.php dodaje środki do portfela zalogowanego użytkownika na podstawie parametru amount przesłanego przez atakującego, bez walidacji transakcji Authorize.Net. Pozwala to każdemu zalogowanemu użytkownikowi na dodanie dowolnych środków do swojego portfela AVideo.
- CVE-2026-47694Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych przechowuje opisy kategorii pochodzące od użytkownika i renderuje je jako surowy HTML w widoku Galerii. Użytkownik z możliwością tworzenia lub edycji kategorii może przechowywać JavaScript w opisie kategorii, który wykonuje się podczas przeglądania strony kategorii przez innego użytkownika. Jest to podatność na atak XSS (stored) w polu opisu kategorii.
- CVE-2026-46337Średnie
WWBN AVideo to otwarta platforma wideo. W wersji 29.0 i wcześniejszych, nieuwierzytelniony zdalny atakujący może odczytać dowolne pliki graficzne na dysku, które użytkownik PHP może otworzyć – w tym prywatne zdjęcia profilowe, miniatury przesłane przez administratora, ramki plakatów zaszyfrowanych filmów oraz treści graficzne z katalogów aplikacji podrzędnych dostępne poprzez nawigację .. . Endpoint nie wymaga uwierzytelnienia.
- CVE-2026-45731Średnie
W platformie WWBN AVideo (wersje 29.0 i wcześniejsze) skrypt view/update.php odczytuje parametr $_POST['updateFile'] jako względną ścieżkę w katalogu updatedb/ i przekazuje go do funkcji PHP file() w celu wykonania linia po linii jako część migracji bazy danych. Uwierzytelniony administrator może to wykorzystać do odczytu dowolnych plików tekstowych dostępnych z procesu serwera WWW.
- CVE-2026-45620Średnie
W WWBN AVideo w wersji 29.0 i wcześniejszych, plik objects/mention.json.php nie ma sprawdzania uwierzytelnienia ani bramy administracyjnej. Posiada jedynie prostą kontrolę wejścia: preg_match('/^@/', $_REQUEST['term']) i zakodowaną na stałe wartość rowCount=10. Umożliwia to nieuwierzytelnionemu atakującemu enumerację użytkowników.
- CVE-2026-45619Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych nie używa parametru wyjściowego $resolvedIP funkcji isSSRFSafeURL() do przypinania DNS przez CURLOPT_RESOLVE w plikach EpgParser.php, plugin/AI/receiveAsync.json.php i innych. Otwiera to lukę DNS-rebinding TOCTOU.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, AVideo's admin plugin configuration endpoint (admin/save.json.php) lacks any CSRF token validation. There is no call to isGlobalTokenValid() or verifyToken() before processing the request. Combined with the application's explicit SameSite=None cookie policy, an attacker can forge cross-origin POST requests from a malicious page to overwrite arbitrary plugin settings on a victim administrator's session. Because the plugins table is included in the ignoreTableSecurityCheck() array in objects/Object.php, standard table-level access controls are also bypassed. This allows a complete takeover of platform functionality by reconfiguring payment processors, authentication providers, cloud storage credentials, and more. At time of publication, there are no publicly available patches.