CVE-2026-35452
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W WWBN AVideo w wersjach 26.0 i wcześniejszych, endpoint plugin/CloneSite/client.log.php udostępnia plik dziennika operacji klonowania bez żadnego uwierzytelnienia. Inne endpointy w katalogu CloneSite wymagają uprawnień administratora. Dziennik zawiera wewnętrzne ścieżki systemu plików, adresy URL zdalnych serwerów i metadane połączeń SSH.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą uzyskać poufne informacje o infrastrukturze, w tym ścieżki plików, adresy URL i dane SSH, co ułatwia dalsze ataki.
Rekomendacja
Należy zaktualizować WWBN AVideo do wersji nowszej niż 26.0 lub zastosować odpowiednie reguły dostępu do endpointu client.log.php.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the plugin/CloneSite/client.log.php endpoint serves the clone operation log file without any authentication. Every other endpoint in the CloneSite plugin directory enforces User::isAdmin(). The log contains internal filesystem paths, remote server URLs, and SSH connection metadata.