CVE-2026-86718

WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność stored XSS w metodzie UserGroups::setGroup_name(), która nie sanityzuje danych wejściowych group_name. Administratorzy z uprawnieniem canAdminUserGroups mogą wstrzyknąć złośliwy HTML i JavaScript, który wykonuje się w przeglądarce innych administratorów odwiedzających interfejs zarządzania użytkownikami.

WWBN AVideo zawiera podatność uszkodzonej kontroli dostępu w punktach końcowych videoViewsInfo, która zwraca kompletne rekordy użytkowników, w tym hashe haseł, tokeny odzyskiwania i identyfikatory sesji na żywo, nieuwierzytelnionym wywołującym po podaniu parametru hash. Atakujący mogą wykorzystać ujawniony identyfikator sesji do przejęcia sesji widzów, w tym kont administratorów, oraz uzyskać wrażliwe dane osobowe wszystkich widzów.

WWBN AVideo zawiera podatność typu path traversal w pliku notify.ffmpeg.json.php, która pozwala nieuwierzytelnionym atakującym zapisywać pliki w dowolnych lokalizacjach poprzez podanie wybranego przez siebie ścieżki w parametrze avideoRelativePath. Atakujący mogą odtworzyć dowolny wcześniej wydany szyfrogram jako token notifyCode, który jest odszyfrowywany, ale nigdy nie weryfikowany, aby ominąć uwierzytelnianie i zapisywać pliki w katalogu głównym aplikacji i podkatalogach.

WWBN AVideo zawiera podatność uwierzytelniania, gdzie poświadczenie video_id_hash jest nie wygasającym, nieodwołalnym tokenem typu bearer, który przyznaje pełny dostęp do sesji administratora na koncie właściciela wideo. Atakujący, którzy zdobędą video_id_hash, mogą go odtwarzać w nieskończoność, aby uwierzytelnić się jako właściciel wideo z pełnymi uprawnieniami, a poświadczenie pozostaje ważne nawet po zmianie hasła przez właściciela.

WWBN AVideo zawiera podatność na przejście ścieżki w plugin/AI/receiveAsync.json.php, która pozwala posiadaczom dowolnego ważnego tokenu AI zapisywać dowolne pliki .vtt poprzez wstrzykiwanie sekwencji przejścia do niesanityzowanego parametru response[lang]. Atakujący mogą wysłać żądanie type=translation z spreparowaną wartością lang, aby umieścić kontrolowaną przez atakującego treść w katalogu głównym serwera lub nadpisać pliki napisów innych użytkowników.

WWBN AVideo w wersjach od 29.0 do 29.4.0 zawiera podatność na warunek wyścigu w pliku plugin/PayPalYPT/ipn.php, która pozwala atakującym obejść ochronę przed powtórzeniem IPN z powodu nieatomowego sprawdzania i wstawiania deduplikacji. Atakujący może jednocześnie powtórzyć przechwycone ważne powiadomienie o płatności cyklicznej, aby oba żądania przeszły isRecurringPaymentIdUsed(), uzyskując duplikaty kredytów portfela i odnowień subskrypcji.

WWBN AVideo w wersjach przed 29.5.0 zawiera podatność typu local file inclusion, która pozwala nieuwierzytelnionym atakującym dołączyć pliki PHP spoza katalogu locale poprzez spreparowany nagłówek Accept-Language. Atakujący mogą użyć nakładających się sekwencji przejścia, takich jak ....//, aby obejść jednoprzebiegowe usuwanie w setLanguage() i wykonać istniejące pliki PHP po stronie serwera w kontekście aplikacji.

WWBN AVideo w wersjach od 26.0 do 29.3.0 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym komentującym wstrzyknąć JavaScript, ponieważ funkcja markDownToHTML() zachowuje atrybuty obsługi zdarzeń w wiodących blokach HTML. Atakujący może opublikować komentarz zaczynający się od znacznika img z obsługą onerror, co omija sanitizer inline i wykonuje się w przeglądarkach widzów w kontekście aplikacji.

WWBN AVideo w wersjach przed 29.4.0 zawiera podatność typu blind server-side request forgery w funkcji getHeaderContentTypeFromURL(), ponieważ get_headers() podąża za przekierowaniami bez ponownej walidacji celów za pomocą isSSRFSafeURL(). Uwierzytelnieni użytkownicy mogący przesyłać treści mogą zapisać link do wideo wskazujący na przekierowanie, co powoduje wewnętrzne żądania GET podczas przeglądania wideo, umożliwiając skanowanie portów wewnętrznych.

WWBN AVideo przed wersją 24.0 zawiera podatność cross-site request forgery w starszych endpointach, takich jak playlistStatus.php, które omijają sprawdzenie autoCSRFGuard() ograniczone do .json.php. Atakujący mogą zwabić zalogowanych użytkowników na stronę z automatycznie wysyłającym się formularzem, aby upublicznić prywatne playlisty, usunąć filmy z playlisty lub sfałszować sugestie wideo.