CVE-2026-35181
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność na Cross-Site Request Forgery (CSRF) w punkcie końcowym konfiguracji skórki odtwarzacza (admin/playerUpdate.json.php), ponieważ nie waliduje tokenów CSRF. Tabela wtyczek jest wyraźnie wykluczona z kontroli bezpieczeństwa opartej na domenie ORM za pomocą ignoreTableSecurityCheck(), co usuwa jedyną inną warstwę obrony. W połączeniu z ciasteczkami SameSite=None, żądanie POST z innego pochodzenia może zmodyfikować wygląd odtwarzacza wideo na całej platformie.
Ocena ryzyka
Atakujący może zmienić wygląd odtwarzacza wideo, potencjalnie wstrzykując złośliwe treści lub przeprowadzając ataki phishingowe na użytkowników platformy.
Rekomendacja
Zaktualizuj WWBN AVideo do wersji 26.1 lub nowszej, jeśli dostępna; w przeciwnym razie zastosuj dodatkowe zabezpieczenia, takie jak weryfikacja tokenów CSRF.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the player skin configuration endpoint at admin/playerUpdate.json.php does not validate CSRF tokens. The plugins table is explicitly excluded from the ORM's domain-based security check via ignoreTableSecurityCheck(), removing the only other layer of defense. Combined with SameSite=None cookies, a cross-origin POST can modify the video player appearance on the entire platform.