CVE-2026-34732
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera lukę w szablonie CreatePlugin dla list.json.php, który nie wymaga uwierzytelnienia ani autoryzacji. Skutkuje to 21 nieuwierzytelnionymi punktami końcowymi ujawniającymi wrażliwe dane, w tym PII użytkowników, logi transakcji płatniczych, adresy IP i nagłówki User-Agent.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać dostęp do poufnych danych użytkowników i systemu, co prowadzi do naruszenia prywatności i potencjalnego wycieku danych.
Rekomendacja
Należy natychmiast zastosować dostępne poprawki lub tymczasowo wyłączyć nieuwierzytelnione punkty końcowe list.json.php do czasu wydania oficjalnej łatki.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the AVideo CreatePlugin template for list.json.php does not include any authentication or authorization check. While the companion templates add.json.php and delete.json.php both require admin privileges, the list.json.php template was shipped without this guard. Every plugin that uses the CreatePlugin code generator inherits this omission, resulting in 21 unauthenticated data listing endpoints across the platform. These endpoints expose sensitive data including user PII, payment transaction logs, IP addresses, user agents, and internal system records. At time of publication, there are no publicly available patches.