CVE-2026-45610
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w przełączniku uwierzytelniania dwuskładnikowego (2FA). Atakujący może wykorzystać ukryty formularz lub żądanie fetch bez poświadczeń, aby wyłączyć 2FA ofiary za pomocą jednego żądania POST.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może zdalnie wyłączyć ochronę 2FA użytkownika, co umożliwia późniejsze przejęcie konta bez konieczności znajomości drugiego składnika uwierzytelniania.
Rekomendacja
Należy natychmiast zaktualizować WWBN AVideo do najnowszej wersji, która zawiera poprawkę eliminującą podatność CSRF na przełączniku 2FA.
Inne podatności w WWBN AVideo
Zobacz wszystkie- CVE-2026-43885Wysokie
WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.
- CVE-2026-55173Wysokie
WWBN AVideo w wersjach 29.0 i starszych jest podatny na wstrzykiwanie poleceń systemu operacyjnego. Poprawka dla CVE-2026-33482 była niekompletna i nie usuwa pojedynczego znaku & (operatora tła powłoki), co pozwala na łączenie wielu poleceń.
- CVE-2026-33731Średnie
W WWBN AVideo przed wersją 29.0 odkryto podatność w handlerze webhook Authorize.Net, która pozwala atakującemu na ominięcie weryfikacji podpisu i sfałszowanie żądań webhook z dowolnymi kwotami płatności oraz identyfikatorami użytkowników. Atakujący może zasilić portfel dowolnego użytkownika bez rzeczywistej płatności, a także aktywować subskrypcje premium, co prowadzi do bezpłatnego dostępu do płatnych treści i strat finansowych.
- CVE-2026-33684Średnie
Podatność w WWBN AVideo przed wersją 29.0 umożliwia eskalację uprawnień poprzez niechronione parametry w API rejestracji. Każdy użytkownik, który rozwiąże CAPTCHA, może samodzielnie nadać sobie podwyższone uprawnienia, takie jak potwierdzenie e-maila, możliwość przesyłania plików, strumieniowania i tworzenia spotkań.
- CVE-2026-47696Średnie
W platformie WWBN AVideo w wersji 29.0 i wcześniejszych, endpoint plugin/AuthorizeNet/processPayment.json.php dodaje środki do portfela zalogowanego użytkownika na podstawie parametru amount przesłanego przez atakującego, bez walidacji transakcji Authorize.Net. Pozwala to każdemu zalogowanemu użytkownikowi na dodanie dowolnych środków do swojego portfela AVideo.
- CVE-2026-47694Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych przechowuje opisy kategorii pochodzące od użytkownika i renderuje je jako surowy HTML w widoku Galerii. Użytkownik z możliwością tworzenia lub edycji kategorii może przechowywać JavaScript w opisie kategorii, który wykonuje się podczas przeglądania strony kategorii przez innego użytkownika. Jest to podatność na atak XSS (stored) w polu opisu kategorii.
- CVE-2026-46337Średnie
WWBN AVideo to otwarta platforma wideo. W wersji 29.0 i wcześniejszych, nieuwierzytelniony zdalny atakujący może odczytać dowolne pliki graficzne na dysku, które użytkownik PHP może otworzyć – w tym prywatne zdjęcia profilowe, miniatury przesłane przez administratora, ramki plakatów zaszyfrowanych filmów oraz treści graficzne z katalogów aplikacji podrzędnych dostępne poprzez nawigację .. . Endpoint nie wymaga uwierzytelnienia.
- CVE-2026-45731Średnie
W platformie WWBN AVideo (wersje 29.0 i wcześniejsze) skrypt view/update.php odczytuje parametr $_POST['updateFile'] jako względną ścieżkę w katalogu updatedb/ i przekazuje go do funkcji PHP file() w celu wykonania linia po linii jako część migracji bazy danych. Uwierzytelniony administrator może to wykorzystać do odczytu dowolnych plików tekstowych dostępnych z procesu serwera WWW.
- CVE-2026-45620Średnie
W WWBN AVideo w wersji 29.0 i wcześniejszych, plik objects/mention.json.php nie ma sprawdzania uwierzytelnienia ani bramy administracyjnej. Posiada jedynie prostą kontrolę wejścia: preg_match('/^@/', $_REQUEST['term']) i zakodowaną na stałe wartość rowCount=10. Umożliwia to nieuwierzytelnionemu atakującemu enumerację użytkowników.
- CVE-2026-45619Średnie
WWBN AVideo w wersji 29.0 i wcześniejszych nie używa parametru wyjściowego $resolvedIP funkcji isSSRFSafeURL() do przypinania DNS przez CURLOPT_RESOLVE w plikach EpgParser.php, plugin/AI/receiveAsync.json.php i innych. Otwiera to lukę DNS-rebinding TOCTOU.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In 29.0 and earlier, there is a cross-site request forgery vulnerability on the 2FA toggle. plugin/LoginControl/set.json.php accepts POST type=set2FA value=false, calls LoginControl::setUser2FA(User::getId(), false) on the session-authenticated user, and returns. There is no forbidIfIsUntrustedRequest() call, no isTokenValid() check, no X-CSRF-Token/SameSite enforcement, and no re-authentication step. A cross-origin page that the victim visits while logged into the AVideo dashboard issues the POST via a hidden form (or fetch without credentials:"omit") and disables the victim's 2FA in one request.