CVE-2026-39366
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
WWBN AVideo w wersjach 26.0 i starszych ma podatność w handlerze PayPal IPN v1, który nie deduplikuje transakcji. Atakujący może powtarzać pojedyncze powiadomienie IPN, wielokrotnie zwiększając saldo portfela i odnawiając subskrypcje.
Ocena ryzyka
Możliwość wielokrotnego wykorzystania tej samej transakcji prowadzi do nieautoryzowanego wzbogacenia się i naruszenia integralności finansowej platformy.
Rekomendacja
Zaktualizuj AVideo do najnowszej wersji, która zawiera poprawiony handler IPN.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the PayPal IPN v1 handler at plugin/PayPalYPT/ipn.php lacks transaction deduplication, allowing an attacker to replay a single legitimate IPN notification to repeatedly inflate their wallet balance and renew subscriptions. The newer ipnV2.php and webhook.php handlers correctly deduplicate via PayPalYPT_log entries, but the v1 handler was never updated and remains actively referenced as the notify_url for billing plans.