CVE-2026-82644
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
WWBN AVideo (do wersji e01e41ecc i wcześniejszych) zawiera obejście limitu szybkości w funkcji enforceRateLimit(), która chroni login.json.php i 13 innych punktów końcowych. Licznik prób jest przechowywany w warstwie cache, która ignoruje zapisy dla klientów identyfikowanych jako boty przez isBot(). Ponieważ isBot() traktuje brak nagłówka User-Agent jako bota, atakujący może wysyłać nieograniczoną liczbę prób logowania, co umożliwia ataki brute-force na hasła.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do kont użytkowników poprzez ataki brute-force na hasła, co może prowadzić do przejęcia kont i naruszenia poufności danych.
Rekomendacja
Zaktualizuj AVideo do najnowszej wersji, która naprawia ten problem. Dodatkowo rozważ wdrożenie dodatkowych mechanizmów ochrony, takich jak CAPTCHA lub blokada IP.
Inne podatności w WWBN AVideo
Zobacz wszystkie- CVE-2026-85157Średnie
WWBN AVideo zawiera podatność polegającą na złamanej kontroli dostępu w nieuwierzytelnionym punkcie końcowym feed/index.php, która wyłącza sprawdzanie widoczności poszczególnych filmów, gdy podany jest parametr program_id. Atakujący mogą enumerować identyfikatory playlist i pobierać filmy niepubliczne oraz ograniczone do grup, żądając kanału RSS z dowolnym widocznym identyfikatorem playlisty, w tym pustymi playlistami, które zwracają cały ukryty katalog filmów witryny.
- CVE-2026-85156Średnie
WWBN AVideo nieprawidłowo weryfikuje kontrolę dostępu na publicznej stronie kanału, co pozwala nieuwierzytelnionym odwiedzającym na oglądanie filmów niepublicznych i ograniczonych do grup poprzez zakodowane na stałe flagi widoczności i niezdefiniowaną właściwość. Atakujący mogą uzyskać dostęp do punktu końcowego kanału, aby pobrać wrażliwe treści wideo, które powinny być ukryte, w tym pełne adresy URL do niepublicznych filmów i miniatury treści tylko dla członków, niezależnie od ustawienia hidePrivateVideos operatora.
- CVE-2026-85155Wysokie
WWBN AVideo zawiera podatność na wstrzykiwanie SQL w parametrze sortowania punktu końcowego get.json.php z APIName=channels, która pozwala nieuwierzytelnionym atakującym na sortowanie wyników według dowolnych kolumn bazy danych, w tym users.password i users.recoverPass. Atakujący mogą wykorzystać ten mechanizm do odgadnięcia wartości skrótów haseł i tokenów odzyskiwania, a także wywołać błędy SQL ujawniające pełne zapytanie i schemat bazy danych.
- CVE-2026-43885Wysokie
WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.
- CVE-2026-85154Krytyczne
WWBN AVideo zawiera podatność uwierzytelniania, gdzie poświadczenie video_id_hash jest nie wygasającym, nieodwołalnym tokenem typu bearer, który przyznaje pełny dostęp do sesji administratora na koncie właściciela wideo. Atakujący, którzy zdobędą video_id_hash, mogą go odtwarzać w nieskończoność, aby uwierzytelnić się jako właściciel wideo z pełnymi uprawnieniami, a poświadczenie pozostaje ważne nawet po zmianie hasła przez właściciela.
- CVE-2026-84482Wysokie
WWBN AVideo do commita 9c39d8c8 zawiera podatność na cross-site request forgery (CSRF) w funkcjach get_domain() i isSameDomain(), które nieprawidłowo weryfikują pochodzenie nagłówka Referer. Atakujący mogą sfałszować żądania z siostrzanych subdomen lub nieparsowalnych długich domen gTLD, aby wykonywać administracyjne zapisy ObjectYPT, w tym zmiany konfiguracji serwera na żywo.
- CVE-2026-84478Wysokie
WWBN AVideo zawiera podatność na path traversal w punkcie API get_api_login_code, która pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików .log poprzez podanie sekwencji przejścia do katalogów w parametrze code. Atakujący mogą wykorzystać to do zniszczenia dzienników audytowych i badania istnienia plików na serwerze, a podatność umożliwia zarówno usuwanie plików, jak i ujawnianie informacji o systemie plików.
- CVE-2026-84476Wysokie
WWBN AVideo nie weryfikuje zaufanych proxy przed zaakceptowaniem nagłówków X-Real-IP i X-Forwarded-For, co pozwala atakującym na sfałszowanie adresu klienta używanego przez funkcję enforceRateLimit(). Atakujący mogą zmieniać wartość nagłówka przy każdym żądaniu, aby ominąć ograniczenia logowania i przeprowadzać nieograniczone ataki polegające na zgadywaniu haseł.
- CVE-2026-82647Średnie
WWBN AVideo zawiera podatność na cross-site request forgery w sendEmail.json.php, która pozwala uwierzytelnionym administratorom na wysyłanie wiadomości e-mail z adresu kontaktowego witryny, omijając sprawdzanie pochodzenia i walidację captcha. Atakujący mogą stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego administratora wysyła e-maile z treścią kontrolowaną przez atakującego do dowolnych odbiorców, przechodząc walidację SPF/DKIM/DMARC do ataków phishingowych i podszywania się pod markę.
- CVE-2026-82646Średnie
WWBN AVideo zawiera nieuwierzytelnioną podatność na odbity cross-site scripting w endpointcie url2Embed.json.php, która pozwala atakującym na wstrzykiwanie złośliwych skryptów poprzez dostarczanie adresów URL z metaznakami HTML. Atakujący mogą utworzyć zaszyfrowany payload evideo z nieoznaczonym znacznikiem, a następnie dostarczyć go jako wyglądający na legalny link na własnej domenie witryny, aby wykonać JavaScript w sesjach ofiar i ukraść ciasteczka lub tokeny CSRF.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo (current e01e41ecc and earlier) contains a brute-force rate limiting bypass in enforceRateLimit(), which protects login.json.php and 13 other endpoints. The function stores its attempt counter via a cache layer (ObjectYPT::setCacheGlobal) that silently discards writes for any client identified as a bot by isBot(). Because isBot() treats a missing User-Agent header as a bot by default — and also matches common bot identifiers such as 'curl', 'bot', 'crawler', and 'spider' — the counter never increments for such clients, so the rate limit never fires. An unauthenticated attacker can therefore submit unlimited login attempts (e.g., by omitting the User-Agent header or using curl's default User-Agent), enabling unrestricted password-guessing attacks.