CVE-2026-86187
ŚrednieCVSS 5.9Streszczenie
WWBN AVideo generuje hasła dla kont logowania zewnętrznego za pomocą rand() zamiast generatora kryptograficznego, co daje tylko 31-bitowe liczby całkowite. Atakujący mający dostęp do skrótów haseł mogą odzyskać hasła w postaci jawnej w ciągu minut poprzez atak brute-force offline z powodu niesolonego haszowania opartego na MD5.
Ocena ryzyka
Ryzyko obejmuje kompromitację kont użytkowników logujących się zewnętrznie, co może prowadzić do nieautoryzowanego dostępu do danych i zasobów AVideo.
Rekomendacja
Zaktualizuj AVideo do wersji, która używa kryptograficznego generatora liczb losowych i bezpiecznego haszowania haseł. Dodatkowo wymuś zmianę haseł dla kont zewnętrznych.
Inne podatności w AVideo
Zobacz wszystkie- CVE-2026-86188Wysokie
AVideo z włączoną wtyczką YPTSocket zawiera podatność na cross-site scripting, która pozwala nieuwierzytelnionym atakującym wykonywać dowolny JavaScript w przeglądarkach innych użytkowników poprzez mechanizm wywołań zwrotnych websocket. Atakujący mogą wysyłać spreparowane wiadomości socketowe z nazwami wywołań zwrotnych, które odwołują się do globalnych funkcji, takich jak avideoConfirmHTML, które przyjmują niezaufane dane i przypisują je do innerHTML, osiągając wykonanie skryptu w kontekście ofiary bez uwierzytelnienia lub interakcji użytkownika.
- CVE-2026-86186Średnie
API AVideo nie egzekwuje limitów szybkości, gdy klienci wysyłają nagłówek User-Agent bota, co pozwala atakującym ominąć wszystkie osiem chronionych operacji, w tym ochronę przed brute-force logowania. Atakujący mogą wysyłać żądania z User-Agent bota, aby wyłączyć limitowanie szybkości i przeprowadzać nieograniczone próby odgadnięcia haseł przeciwko dowolnemu kontu z jednego adresu IP.
- CVE-2026-85163Średnie
AVideo do commit c91b5975d zawiera podatność na SSRF w parserze EPG, która pozwala uwierzytelnionym uploaderom na pobieranie dowolnych wewnętrznych adresów URL. Atakujący może podać wewnętrzny URL w parametrze epg_link podczas przesyłania wideo, który jest walidowany tylko składniowo, a następnie pobierany po stronie serwera bez ochrony SSRF.
- CVE-2026-85162Średnie
AVideo do commit c91b5975d zawiera podatność na Cross-Site Request Forgery (CSRF) w plugin/Live/saveLive.php, która nie ma zabezpieczeń forbidIfNotPost i forbidIfInvalidToken. Atakujący mogą tworzyć złośliwe tagi obrazków, aby nadpisać klucze RTMP, hasła i tytuły streamerów, przejmując transmisje na żywo.
- CVE-2026-85161Średnie
AVideo do commit c91b5975d zawiera podatność na CSRF w removePoster.php, która nie ma zabezpieczeń forbidIfNotPost lub forbidIfInvalidToken. Atakujący mogą tworzyć złośliwe tagi obrazków, aby usuwać pliki posterów i miniatur ofiar za pomocą żądań GET.
- CVE-2026-85160Wysokie
AVideo do commita c91b5975d zawiera podatność cross-site request forgery i path traversal w pliku stopLive.php, która umożliwia atakującym usuwanie katalogów poprzez wykorzystanie braku walidacji tokenu i niesanityzowanej konkatenacji parametru key. Atakujący mogą stworzyć tag obrazu z payloadem traversal, np. key=../../videos, aby wywołać rekurencyjne usunięcie katalogu videos, gdy administrator odwiedzi złośliwą stronę.
- CVE-2026-85158Średnie
AVideo do commit c91b5975d zawiera podatność na odbity XSS w videoEmbeded.php, gdzie parametr link jest wyświetlany w komentarzu HTML bez żadnego kodowania. Atakujący mogą zamknąć komentarz za pomocą --> i wstrzyknąć dowolny JavaScript, który wykona się, gdy ofiara odwiedzi spreparowany URL.
- CVE-2026-84187Wysokie
AVideo zawiera podatność na brak uwierzytelnienia w plugin/Live/on_publish.php, która umożliwia nieuwierzytelnionym atakującym oznaczanie dowolnych zaplanowanych transmisji jako nieudanych poprzez wysyłanie spreparowanych żądań POST z identyfikatorami harmonogramu. Atakujący mogą wykorzystać niechroniony punkt końcowy wywołania zwrotnego RTMP do modyfikacji pól statusu zaplanowanych transmisji, dostarczając sfałszowane klucze strumienia pasujące do wzorca -ps-<N>, cicho anulując dowolną zaplanowaną transmisję na żywo bez poświadczeń lub autoryzacji.
- CVE-2026-83595Wysokie
AVideo zawiera podatność na cross-site request forgery (CSRF) w pliku plugin/API/set.json.php, która pozwala atakującym na wykonywanie operacji zmieniających stan poprzez spreparowane żądania GET omijające ochronę CSRF. Atakujący może przekierować przeglądarkę ofiary na złośliwy URL z parametrami API, aby usunąć filmy, dezaktywować konta lub modyfikować playlisty bez interakcji użytkownika.
- CVE-2026-43884Wysokie
AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma podatność na atak SSRF. Dwa punkty końcowe nieprawidłowo walidują dostarczone przez użytkownika adresy URL, co pozwala atakującemu na przekierowanie do wewnętrznych zasobów.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo generates passwords for external-login accounts using rand() instead of a cryptographic generator, producing only 31-bit integers. Attackers with access to password hashes can recover plaintext passwords in minutes through offline brute-force attacks due to unsalted MD5-based hashing.