CVE-2026-84479
KrytyczneCVSS 9.1Streszczenie
WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.
Ocena ryzyka
Podatność umożliwia atakującemu z prawidłowymi danymi logowania ominięcie kluczowych zabezpieczeń, co może prowadzić do nieautoryzowanego dostępu do kont i naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się monitorowanie informacji o poprawkach od producenta i rozważenie dodatkowych zabezpieczeń, takich jak weryfikacja IP lub wspólny sekret, dopóki nie zostanie wydana oficjalna poprawka.
Inne podatności w AVideo
Zobacz wszystkie- CVE-2026-84483Średnie
WWBN AVideo do commitu 9c39d8c8 zawiera niekompletne obejście uwierzytelniania w encryptPass.json.php, które pozwala nieuwierzytelnionym atakującym na obliczenie prawidłowych tokenów HMAC przy użyciu publicznego adresu URL witryny i bieżącego czasu. Atakujący mogą sfałszować tokeny uwierzytelniające, obliczając hash_hmac z adresem URL witryny jako kluczem i przesyłać dowolne hasła, aby otrzymać zaszyfrowane hasze, co umożliwia ataki offline na skradzione bazy haseł.
- CVE-2026-84481Średnie
WWBN AVideo do wersji 30.0 zawiera podatność na ujawnienie informacji w pluginie MobileManager, w punkcie końcowym getConfiguration, który zwraca wrażliwe dane konfiguracyjne nieuwierzytelnionym odwiedzającym. Atakujący mogą wysłać nieuwierzytelnione żądanie GET do plugin/MobileManager/getConfiguration.json.php, aby uzyskać ścieżki plików kluczy prywatnych TLS, szczegóły konfiguracji gniazd, wersję platformy i flagi debugowania, co umożliwia dalsze ataki.
- CVE-2026-84477Średnie
AVideo Live_schedule::setTitle() i setDescription() przechowują dane wejściowe POST bez sanityzacji, co pozwala użytkownikom z uprawnieniami do streamowania na wstrzykiwanie złośliwych skryptów. Nieuwierzytelnieni atakujący mogą uzyskać dostęp do remindMe.php, aby wykonać trwałe ładunki XSS w przeglądarkach ofiar bez wymaganego uwierzytelnienia.
- CVE-2026-84208Wysokie
AVideo do wersji 29.0 zawiera nieuwierzytelnioną podatność na iniekcję SQL w pluginie User_Location, w punktach końcowych regions.json.php i cities.json.php. Parametry GET country i region są przekazywane bezpośrednio do zapytań SQL bez escapowania lub użycia prepared statements, co pozwala nieuwierzytelnionym atakującym na wykonanie iniekcji SQL typu UNION w celu odczytania dowolnych danych z bazy, w tym hashy haseł i wrażliwych danych.
- CVE-2026-84187Wysokie
AVideo zawiera podatność na brak uwierzytelnienia w plugin/Live/on_publish.php, która umożliwia nieuwierzytelnionym atakującym oznaczanie dowolnych zaplanowanych transmisji jako nieudanych poprzez wysyłanie spreparowanych żądań POST z identyfikatorami harmonogramu. Atakujący mogą wykorzystać niechroniony punkt końcowy wywołania zwrotnego RTMP do modyfikacji pól statusu zaplanowanych transmisji, dostarczając sfałszowane klucze strumienia pasujące do wzorca -ps-<N>, cicho anulując dowolną zaplanowaną transmisję na żywo bez poświadczeń lub autoryzacji.
- CVE-2026-83595Wysokie
AVideo zawiera podatność na cross-site request forgery (CSRF) w pliku plugin/API/set.json.php, która pozwala atakującym na wykonywanie operacji zmieniających stan poprzez spreparowane żądania GET omijające ochronę CSRF. Atakujący może przekierować przeglądarkę ofiary na złośliwy URL z parametrami API, aby usunąć filmy, dezaktywować konta lub modyfikować playlisty bez interakcji użytkownika.
- CVE-2026-43884Wysokie
AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma podatność na atak SSRF. Dwa punkty końcowe nieprawidłowo walidują dostarczone przez użytkownika adresy URL, co pozwala atakującemu na przekierowanie do wewnętrznych zasobów.
- CVE-2026-43873Wysokie
AVideo to otwartoźródłowa platforma wideo, która w wersjach do 29.0 ujawnia lokalny sekret CloneSite w odpowiedzi HTTP na każde nieautoryzowane żądanie. Sekret ten może być wykorzystany przez atakującego do podszywania się pod ofiarę i uzyskania dostępu do zdalnej bazy danych.
- CVE-2026-43874Wysokie
AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma lukę umożliwiającą atakującemu bez uwierzytelnienia wysyłanie złośliwych wiadomości przez WebSocket. Luka ta wynika z niewłaściwego przetwarzania danych JSON, co pozwala na wykonanie kodu PHP na serwerze.
- CVE-2026-84480Krytyczne
WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo (current e01e41ecc and earlier) makes three login-time security controls depend solely on the client-supplied User-Agent header. The isAVideoEncoder()/isAVideoMobileApp() checks match HTTP_USER_AGENT against a hardcoded literal ("AVideoEncoder"/"AVideoMobileApp") with no IP check or shared secret. An attacker who submits valid credentials and sets User-Agent: AVideoEncoder bypasses two-factor authentication, skips brute-force captcha escalation, and avoids being recorded in the login/device audit history. No patch is available at the time of publication.