CVE-2026-35450

ŚrednieCVSS 5.3

Opublikowano: 06/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

W WWBN AVideo w wersjach 26.0 i wcześniejszych, endpoint plugin/API/check.ffmpeg.json.php bada konfigurację zdalnego serwera FFmpeg i zwraca stan połączenia bez uwierzytelnienia. Inne endpointy zarządzania FFmpeg wymagają uprawnień administratora.

Ocena ryzyka

Nieuwierzytelnieni atakujący mogą uzyskać informacje o stanie połączenia z serwerem FFmpeg, co może pomóc w rozpoznaniu infrastruktury i potencjalnych atakach.

Rekomendacja

Należy zaktualizować WWBN AVideo do wersji nowszej niż 26.0 lub zabezpieczyć endpoint check.ffmpeg.json.php wymaganiem uwierzytelnienia.

Oryginalny opis (angielski, źródło NVD)

WWBN AVideo is an open source video platform. In versions 26.0 and prior, the plugin/API/check.ffmpeg.json.php endpoint probes the FFmpeg remote server configuration and returns connectivity status without any authentication. All sibling FFmpeg management endpoints (kill.ffmpeg.json.php, list.ffmpeg.json.php, ffmpeg.php) require User::isAdmin().