CVE-2026-43874
WysokieStreszczenie
AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma lukę umożliwiającą atakującemu bez uwierzytelnienia wysyłanie złośliwych wiadomości przez WebSocket. Luka ta wynika z niewłaściwego przetwarzania danych JSON, co pozwala na wykonanie kodu PHP na serwerze.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu na serwerze, co może prowadzić do przejęcia kont użytkowników oraz wycieku danych. Organizacje korzystające z AVideo powinny być świadome ryzyka związanego z nieautoryzowanym dostępem do systemu.
Rekomendacja
Zaleca się aktualizację AVideo do wersji zawierającej poprawkę z commit 9f3006f9a89a34daa67a83c6ad35f450cb91fcce, aby zlikwidować tę lukę. Dodatkowo, warto monitorować logi serwera w celu wykrycia potencjalnych prób ataków.
Inne podatności w AVideo
Zobacz wszystkie- CVE-2026-43884Wysokie
AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma podatność na atak SSRF. Dwa punkty końcowe nieprawidłowo walidują dostarczone przez użytkownika adresy URL, co pozwala atakującemu na przekierowanie do wewnętrznych zasobów.
- CVE-2026-43873Wysokie
AVideo to otwartoźródłowa platforma wideo, która w wersjach do 29.0 ujawnia lokalny sekret CloneSite w odpowiedzi HTTP na każde nieautoryzowane żądanie. Sekret ten może być wykorzystany przez atakującego do podszywania się pod ofiarę i uzyskania dostępu do zdalnej bazy danych.
- CVE-2026-72748Krytyczne
AVideo zawiera nieuwierzytelnioną podatność na dowolny zapis plików w punkcie końcowym aVideoEncoderChunk.json.php, co pozwala zdalnym atakującym na zapis do 4 GB dowolnej treści na serwerze przez żądania HTTP PUT bez uwierzytelnienia.
- CVE-2026-64625Krytyczne
AVideo przed wersją 29.0 zawiera niekompletną poprawkę dla CVE-2026-45578. Funkcja execAsync() ponownie opakowuje uciekające komendy w podwójnie cudzysłowowe sh -c, co umożliwia podstawianie komend przez $() i backticks. Atakujący mogą wstrzykiwać dowolne komendy OS przez endpoint on_publish.php wtyczki Live, pomimo ochrony escapeshellarg().
- CVE-2026-54458Krytyczne
WWBN AVideo przed wersją 29.0 zawiera podatność na trwałe DOM Cross-Site Scripting w pluginie YPTSocket. Niezautoryzowany atakujący może zdalnie wykonać dowolny kod JavaScript w kontekście administratora przeglądającego panel debugowania online użytkowników.
- CVE-2025-34433Krytyczne
AVideo w wersjach od 14.3.1 do 20.1 zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu spowodowaną przewidywalnym generowaniem soli instalacyjnej przy użyciu PHP uniqid(). Znacznik czasu instalacji jest ujawniany przez publiczny endpoint, a pochodny identyfikator hasha jest dostępny przez nieuwierzytelnione odpowiedzi API, co pozwala atakującym na brute-force pozostałej entropii. Odzyskana sól może być użyta do zaszyfrowania złośliwego ładunku dostarczonego do endpointu API powiadomień, który ocenia dane kontrolowane przez atakującego, co prowadzi do wykonania dowolnego kodu jako użytkownik serwera WWW.
- CVE-2025-34434Krytyczne
AVideo w wersjach przed 20.1 z włączoną wtyczką ImageGallery jest podatny na nieuwierzytelnione przesyłanie i usuwanie plików. Punkty końcowe wtyczki odpowiedzialne za zarządzanie obrazami galerii nie egzekwują kontroli uwierzytelniania i nie walidują własności, co pozwala nieuwierzytelnionym atakującym na przesyłanie lub usuwanie obrazów związanych z dowolnym wideo opartym na obrazach.
- CVE-2026-81733Średnie
WWBN AVideo do wersji 30.0 (oraz master do commita 4cb576e) zawiera podatność na cross-site request forgery w plugin/Live/myLiveControls.save.json.php. Endpoint sprawdza tylko, czy użytkownik jest zalogowany, i przetwarza parametry customUrl, customMessage i autoRedirect z $_REQUEST przez żądanie GET bez wymuszania tokena CSRF lub sprawdzania pochodzenia. Atakujący, który zwabi zalogowanego streamera na złośliwą stronę, może po cichu zmienić ustawienia przekierowania widzów kanału na żywo, co spowoduje przekierowanie widzów na phishingową stronę lub wyświetlenie sfałszowanej wiadomości.
- CVE-2026-81732Średnie
WWBN AVideo do wersji 30.0 nie egzekwuje uwierzytelniania na endpointach report4.json.php i report4.1.json.php, co pozwala nieuwierzytelnionym użytkownikom na dostęp do statystyk rejestracji użytkowników. Atakujący mogą wysyłać żądania GET do tych endpointów, aby uzyskać dzienne i skumulowane liczby rejestracji bez sesji lub autoryzacji.
- CVE-2026-81678Wysokie
AVideo przed wersją 24.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji isSSRFSafeURL, która nie wyodrębnia osadzonych adresów IPv4 z formatów przejściowych IPv6 (NAT64, 6to4, Teredo). Nieuwierzytelnieni atakujący mogą ominąć ochronę SSRF przez punkt końcowy LiveLinks, aby dotrzeć do wewnętrznych usług i punktów końcowych metadanych chmury.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions up to and including 29.0, the server-side mitigation for the YPTSocket autoEvalCodeOnHTML eval sink (from CVE-2026-40911) only strips the payload when it sits under $json['msg'], but the relay function msgToResourceId() selects the outbound message from $msg['json'] before $msg['msg']. An unauthenticated attacker can obtain a WebSocket token from plugin/YPTSocket/getWebSocket.json.php, connect to the WebSocket server, and send a message with autoEvalCodeOnHTML nested under a top-level json field — the strip branch is skipped, the relay delivers the payload verbatim to any logged-in user identified by to_users_id, and the client script runs it through eval(). Commit 9f3006f9a89a34daa67a83c6ad35f450cb91fcce contains an updated fix.