CVE-2026-84477

WWBN AVideo do commitu 9c39d8c8 zawiera niekompletne obejście uwierzytelniania w encryptPass.json.php, które pozwala nieuwierzytelnionym atakującym na obliczenie prawidłowych tokenów HMAC przy użyciu publicznego adresu URL witryny i bieżącego czasu. Atakujący mogą sfałszować tokeny uwierzytelniające, obliczając hash_hmac z adresem URL witryny jako kluczem i przesyłać dowolne hasła, aby otrzymać zaszyfrowane hasze, co umożliwia ataki offline na skradzione bazy haseł.

WWBN AVideo do wersji 30.0 zawiera podatność na ujawnienie informacji w pluginie MobileManager, w punkcie końcowym getConfiguration, który zwraca wrażliwe dane konfiguracyjne nieuwierzytelnionym odwiedzającym. Atakujący mogą wysłać nieuwierzytelnione żądanie GET do plugin/MobileManager/getConfiguration.json.php, aby uzyskać ścieżki plików kluczy prywatnych TLS, szczegóły konfiguracji gniazd, wersję platformy i flagi debugowania, co umożliwia dalsze ataki.

AVideo do wersji 29.0 zawiera nieuwierzytelnioną podatność na iniekcję SQL w pluginie User_Location, w punktach końcowych regions.json.php i cities.json.php. Parametry GET country i region są przekazywane bezpośrednio do zapytań SQL bez escapowania lub użycia prepared statements, co pozwala nieuwierzytelnionym atakującym na wykonanie iniekcji SQL typu UNION w celu odczytania dowolnych danych z bazy, w tym hashy haseł i wrażliwych danych.

AVideo zawiera podatność na brak uwierzytelnienia w plugin/Live/on_publish.php, która umożliwia nieuwierzytelnionym atakującym oznaczanie dowolnych zaplanowanych transmisji jako nieudanych poprzez wysyłanie spreparowanych żądań POST z identyfikatorami harmonogramu. Atakujący mogą wykorzystać niechroniony punkt końcowy wywołania zwrotnego RTMP do modyfikacji pól statusu zaplanowanych transmisji, dostarczając sfałszowane klucze strumienia pasujące do wzorca -ps-<N>, cicho anulując dowolną zaplanowaną transmisję na żywo bez poświadczeń lub autoryzacji.

AVideo zawiera podatność na cross-site request forgery (CSRF) w pliku plugin/API/set.json.php, która pozwala atakującym na wykonywanie operacji zmieniających stan poprzez spreparowane żądania GET omijające ochronę CSRF. Atakujący może przekierować przeglądarkę ofiary na złośliwy URL z parametrami API, aby usunąć filmy, dezaktywować konta lub modyfikować playlisty bez interakcji użytkownika.

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma podatność na atak SSRF. Dwa punkty końcowe nieprawidłowo walidują dostarczone przez użytkownika adresy URL, co pozwala atakującemu na przekierowanie do wewnętrznych zasobów.

AVideo to otwartoźródłowa platforma wideo, która w wersjach do 29.0 ujawnia lokalny sekret CloneSite w odpowiedzi HTTP na każde nieautoryzowane żądanie. Sekret ten może być wykorzystany przez atakującego do podszywania się pod ofiarę i uzyskania dostępu do zdalnej bazy danych.

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma lukę umożliwiającą atakującemu bez uwierzytelnienia wysyłanie złośliwych wiadomości przez WebSocket. Luka ta wynika z niewłaściwego przetwarzania danych JSON, co pozwala na wykonanie kodu PHP na serwerze.

WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.

WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.