CVE-2026-35449
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W WWBN AVideo w wersjach 26.0 i wcześniejszych skrypt diagnostyczny install/test.php ma wyłączoną ochronę dostępu CLI poprzez zakomentowanie instrukcji die(). Skrypt pozostaje dostępny przez HTTP po instalacji, ujawniając statystyki widzów, w tym adresy IP, identyfikatory sesji i user-agenty, nieuwierzytelnionym odwiedzającym.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą uzyskać dostęp do wrażliwych danych o użytkownikach, co może prowadzić do naruszenia prywatności i dalszych ataków.
Rekomendacja
Należy natychmiast usunąć lub zabezpieczyć skrypt install/test.php na serwerach produkcyjnych oraz zaktualizować AVideo do najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the install/test.php diagnostic script has its CLI-only access guard disabled by commenting out the die() statement. The script remains accessible via HTTP after installation, exposing video viewer statistics including IP addresses, session IDs, and user agents to unauthenticated visitors.