CVE-2026-84478

WWBN AVideo zawiera podatność polegającą na złamanej kontroli dostępu w nieuwierzytelnionym punkcie końcowym feed/index.php, która wyłącza sprawdzanie widoczności poszczególnych filmów, gdy podany jest parametr program_id. Atakujący mogą enumerować identyfikatory playlist i pobierać filmy niepubliczne oraz ograniczone do grup, żądając kanału RSS z dowolnym widocznym identyfikatorem playlisty, w tym pustymi playlistami, które zwracają cały ukryty katalog filmów witryny.

WWBN AVideo nieprawidłowo weryfikuje kontrolę dostępu na publicznej stronie kanału, co pozwala nieuwierzytelnionym odwiedzającym na oglądanie filmów niepublicznych i ograniczonych do grup poprzez zakodowane na stałe flagi widoczności i niezdefiniowaną właściwość. Atakujący mogą uzyskać dostęp do punktu końcowego kanału, aby pobrać wrażliwe treści wideo, które powinny być ukryte, w tym pełne adresy URL do niepublicznych filmów i miniatury treści tylko dla członków, niezależnie od ustawienia hidePrivateVideos operatora.

WWBN AVideo zawiera podatność na wstrzykiwanie SQL w parametrze sortowania punktu końcowego get.json.php z APIName=channels, która pozwala nieuwierzytelnionym atakującym na sortowanie wyników według dowolnych kolumn bazy danych, w tym users.password i users.recoverPass. Atakujący mogą wykorzystać ten mechanizm do odgadnięcia wartości skrótów haseł i tokenów odzyskiwania, a także wywołać błędy SQL ujawniające pełne zapytanie i schemat bazy danych.

WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.

WWBN AVideo zawiera podatność uwierzytelniania, gdzie poświadczenie video_id_hash jest nie wygasającym, nieodwołalnym tokenem typu bearer, który przyznaje pełny dostęp do sesji administratora na koncie właściciela wideo. Atakujący, którzy zdobędą video_id_hash, mogą go odtwarzać w nieskończoność, aby uwierzytelnić się jako właściciel wideo z pełnymi uprawnieniami, a poświadczenie pozostaje ważne nawet po zmianie hasła przez właściciela.

WWBN AVideo do commita 9c39d8c8 zawiera podatność na cross-site request forgery (CSRF) w funkcjach get_domain() i isSameDomain(), które nieprawidłowo weryfikują pochodzenie nagłówka Referer. Atakujący mogą sfałszować żądania z siostrzanych subdomen lub nieparsowalnych długich domen gTLD, aby wykonywać administracyjne zapisy ObjectYPT, w tym zmiany konfiguracji serwera na żywo.

WWBN AVideo nie weryfikuje zaufanych proxy przed zaakceptowaniem nagłówków X-Real-IP i X-Forwarded-For, co pozwala atakującym na sfałszowanie adresu klienta używanego przez funkcję enforceRateLimit(). Atakujący mogą zmieniać wartość nagłówka przy każdym żądaniu, aby ominąć ograniczenia logowania i przeprowadzać nieograniczone ataki polegające na zgadywaniu haseł.

WWBN AVideo zawiera podatność na cross-site request forgery w sendEmail.json.php, która pozwala uwierzytelnionym administratorom na wysyłanie wiadomości e-mail z adresu kontaktowego witryny, omijając sprawdzanie pochodzenia i walidację captcha. Atakujący mogą stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego administratora wysyła e-maile z treścią kontrolowaną przez atakującego do dowolnych odbiorców, przechodząc walidację SPF/DKIM/DMARC do ataków phishingowych i podszywania się pod markę.

WWBN AVideo zawiera nieuwierzytelnioną podatność na odbity cross-site scripting w endpointcie url2Embed.json.php, która pozwala atakującym na wstrzykiwanie złośliwych skryptów poprzez dostarczanie adresów URL z metaznakami HTML. Atakujący mogą utworzyć zaszyfrowany payload evideo z nieoznaczonym znacznikiem, a następnie dostarczyć go jako wyglądający na legalny link na własnej domenie witryny, aby wykonać JavaScript w sesjach ofiar i ukraść ciasteczka lub tokeny CSRF.

WWBN AVideo (do wersji e01e41ecc i wcześniejszych) zawiera obejście limitu szybkości w funkcji enforceRateLimit(), która chroni login.json.php i 13 innych punktów końcowych. Licznik prób jest przechowywany w warstwie cache, która ignoruje zapisy dla klientów identyfikowanych jako boty przez isBot(). Ponieważ isBot() traktuje brak nagłówka User-Agent jako bota, atakujący może wysyłać nieograniczoną liczbę prób logowania, co umożliwia ataki brute-force na hasła.