CVE-2026-84208
WysokieCVSS 7.5Streszczenie
AVideo do wersji 29.0 zawiera nieuwierzytelnioną podatność na iniekcję SQL w pluginie User_Location, w punktach końcowych regions.json.php i cities.json.php. Parametry GET country i region są przekazywane bezpośrednio do zapytań SQL bez escapowania lub użycia prepared statements, co pozwala nieuwierzytelnionym atakującym na wykonanie iniekcji SQL typu UNION w celu odczytania dowolnych danych z bazy, w tym hashy haseł i wrażliwych danych.
Ocena ryzyka
Nieuwierzytelniona iniekcja SQL może prowadzić do pełnego wycieku danych z bazy, w tym haseł użytkowników, co może skutkować naruszeniem poufności i integralności systemu.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie AVideo do wersji nowszej niż 29.0, jeśli dostępna jest poprawka. Należy również zastosować parametryzowane zapytania lub odpowiednie escapowanie w kodzie aplikacji.
Inne podatności w AVideo
Zobacz wszystkie- CVE-2026-84483Średnie
WWBN AVideo do commitu 9c39d8c8 zawiera niekompletne obejście uwierzytelniania w encryptPass.json.php, które pozwala nieuwierzytelnionym atakującym na obliczenie prawidłowych tokenów HMAC przy użyciu publicznego adresu URL witryny i bieżącego czasu. Atakujący mogą sfałszować tokeny uwierzytelniające, obliczając hash_hmac z adresem URL witryny jako kluczem i przesyłać dowolne hasła, aby otrzymać zaszyfrowane hasze, co umożliwia ataki offline na skradzione bazy haseł.
- CVE-2026-84481Średnie
WWBN AVideo do wersji 30.0 zawiera podatność na ujawnienie informacji w pluginie MobileManager, w punkcie końcowym getConfiguration, który zwraca wrażliwe dane konfiguracyjne nieuwierzytelnionym odwiedzającym. Atakujący mogą wysłać nieuwierzytelnione żądanie GET do plugin/MobileManager/getConfiguration.json.php, aby uzyskać ścieżki plików kluczy prywatnych TLS, szczegóły konfiguracji gniazd, wersję platformy i flagi debugowania, co umożliwia dalsze ataki.
- CVE-2026-84477Średnie
AVideo Live_schedule::setTitle() i setDescription() przechowują dane wejściowe POST bez sanityzacji, co pozwala użytkownikom z uprawnieniami do streamowania na wstrzykiwanie złośliwych skryptów. Nieuwierzytelnieni atakujący mogą uzyskać dostęp do remindMe.php, aby wykonać trwałe ładunki XSS w przeglądarkach ofiar bez wymaganego uwierzytelnienia.
- CVE-2026-84187Wysokie
AVideo zawiera podatność na brak uwierzytelnienia w plugin/Live/on_publish.php, która umożliwia nieuwierzytelnionym atakującym oznaczanie dowolnych zaplanowanych transmisji jako nieudanych poprzez wysyłanie spreparowanych żądań POST z identyfikatorami harmonogramu. Atakujący mogą wykorzystać niechroniony punkt końcowy wywołania zwrotnego RTMP do modyfikacji pól statusu zaplanowanych transmisji, dostarczając sfałszowane klucze strumienia pasujące do wzorca -ps-<N>, cicho anulując dowolną zaplanowaną transmisję na żywo bez poświadczeń lub autoryzacji.
- CVE-2026-83595Wysokie
AVideo zawiera podatność na cross-site request forgery (CSRF) w pliku plugin/API/set.json.php, która pozwala atakującym na wykonywanie operacji zmieniających stan poprzez spreparowane żądania GET omijające ochronę CSRF. Atakujący może przekierować przeglądarkę ofiary na złośliwy URL z parametrami API, aby usunąć filmy, dezaktywować konta lub modyfikować playlisty bez interakcji użytkownika.
- CVE-2026-43884Wysokie
AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma podatność na atak SSRF. Dwa punkty końcowe nieprawidłowo walidują dostarczone przez użytkownika adresy URL, co pozwala atakującemu na przekierowanie do wewnętrznych zasobów.
- CVE-2026-43873Wysokie
AVideo to otwartoźródłowa platforma wideo, która w wersjach do 29.0 ujawnia lokalny sekret CloneSite w odpowiedzi HTTP na każde nieautoryzowane żądanie. Sekret ten może być wykorzystany przez atakującego do podszywania się pod ofiarę i uzyskania dostępu do zdalnej bazy danych.
- CVE-2026-43874Wysokie
AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma lukę umożliwiającą atakującemu bez uwierzytelnienia wysyłanie złośliwych wiadomości przez WebSocket. Luka ta wynika z niewłaściwego przetwarzania danych JSON, co pozwala na wykonanie kodu PHP na serwerze.
- CVE-2026-84480Krytyczne
WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.
- CVE-2026-84479Krytyczne
WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.
Oryginalny opis (angielski, źródło NVD)
AVideo through version 29.0 contains an unauthenticated SQL injection vulnerability in the User_Location plugin's regions.json.php and cities.json.php endpoints. The country and region GET parameters are passed directly into SQL queries without escaping or prepared statement binding, allowing unauthenticated attackers to execute UNION-based SQL injection to read arbitrary database contents including password hashes and sensitive data.