CVE-2026-35179
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie SocialMediaPublisher, gdzie endpoint publishInstagram.json.php działa jako nieuwierzytelnione proxy do Facebook/Instagram Graph API. Umożliwia to każdemu nieuwierzytelnionemu użytkownikowi wykonywanie dowolnych zapytań do Graph API przez serwer, potencjalnie z użyciem skradzionych tokenów lub nadużywając własnych poświadczeń platformy.
Ocena ryzyka
Atakujący może wykorzystać serwer jako proxy do wykonywania nieautoryzowanych operacji na Graph API, co może prowadzić do kradzieży danych, naruszenia prywatności lub nadużycia limitów API.
Rekomendacja
Zaleca się natychmiastową aktualizację do najnowszej wersji AVideo, która usuwa tę podatność, oraz ograniczenie dostępu do endpointu tylko dla uwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the SocialMediaPublisher plugin exposes a publishInstagram.json.php endpoint that acts as an unauthenticated proxy to the Facebook/Instagram Graph API. The endpoint accepts user-controlled parameters including an access token, container ID, and Instagram account ID, and passes them directly to the Graph API via InstagramUploader::publishMediaIfIsReady(). This allows any unauthenticated user to make arbitrary Graph API calls through the server, potentially using stolen tokens or abusing the platform's own credentials.