Podatności WWBN AVideo

WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.

WWBN AVideo w wersjach 29.0 i starszych jest podatny na wstrzykiwanie poleceń systemu operacyjnego. Poprawka dla CVE-2026-33482 była niekompletna i nie usuwa pojedynczego znaku & (operatora tła powłoki), co pozwala na łączenie wielu poleceń.

W WWBN AVideo przed wersją 29.0 odkryto podatność w handlerze webhook Authorize.Net, która pozwala atakującemu na ominięcie weryfikacji podpisu i sfałszowanie żądań webhook z dowolnymi kwotami płatności oraz identyfikatorami użytkowników. Atakujący może zasilić portfel dowolnego użytkownika bez rzeczywistej płatności, a także aktywować subskrypcje premium, co prowadzi do bezpłatnego dostępu do płatnych treści i strat finansowych.

Podatność w WWBN AVideo przed wersją 29.0 umożliwia eskalację uprawnień poprzez niechronione parametry w API rejestracji. Każdy użytkownik, który rozwiąże CAPTCHA, może samodzielnie nadać sobie podwyższone uprawnienia, takie jak potwierdzenie e-maila, możliwość przesyłania plików, strumieniowania i tworzenia spotkań.

W platformie WWBN AVideo w wersji 29.0 i wcześniejszych, endpoint plugin/AuthorizeNet/processPayment.json.php dodaje środki do portfela zalogowanego użytkownika na podstawie parametru amount przesłanego przez atakującego, bez walidacji transakcji Authorize.Net. Pozwala to każdemu zalogowanemu użytkownikowi na dodanie dowolnych środków do swojego portfela AVideo.

WWBN AVideo w wersji 29.0 i wcześniejszych przechowuje opisy kategorii pochodzące od użytkownika i renderuje je jako surowy HTML w widoku Galerii. Użytkownik z możliwością tworzenia lub edycji kategorii może przechowywać JavaScript w opisie kategorii, który wykonuje się podczas przeglądania strony kategorii przez innego użytkownika. Jest to podatność na atak XSS (stored) w polu opisu kategorii.

WWBN AVideo to otwarta platforma wideo. W wersji 29.0 i wcześniejszych, nieuwierzytelniony zdalny atakujący może odczytać dowolne pliki graficzne na dysku, które użytkownik PHP może otworzyć – w tym prywatne zdjęcia profilowe, miniatury przesłane przez administratora, ramki plakatów zaszyfrowanych filmów oraz treści graficzne z katalogów aplikacji podrzędnych dostępne poprzez nawigację .. . Endpoint nie wymaga uwierzytelnienia.

W platformie WWBN AVideo (wersje 29.0 i wcześniejsze) skrypt view/update.php odczytuje parametr $_POST['updateFile'] jako względną ścieżkę w katalogu updatedb/ i przekazuje go do funkcji PHP file() w celu wykonania linia po linii jako część migracji bazy danych. Uwierzytelniony administrator może to wykorzystać do odczytu dowolnych plików tekstowych dostępnych z procesu serwera WWW.

W WWBN AVideo w wersji 29.0 i wcześniejszych, plik objects/mention.json.php nie ma sprawdzania uwierzytelnienia ani bramy administracyjnej. Posiada jedynie prostą kontrolę wejścia: preg_match('/^@/', $_REQUEST['term']) i zakodowaną na stałe wartość rowCount=10. Umożliwia to nieuwierzytelnionemu atakującemu enumerację użytkowników.

WWBN AVideo w wersji 29.0 i wcześniejszych nie używa parametru wyjściowego $resolvedIP funkcji isSSRFSafeURL() do przypinania DNS przez CURLOPT_RESOLVE w plikach EpgParser.php, plugin/AI/receiveAsync.json.php i innych. Otwiera to lukę DNS-rebinding TOCTOU.

WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w przełączniku uwierzytelniania dwuskładnikowego (2FA). Atakujący może wykorzystać ukryty formularz lub żądanie fetch bez poświadczeń, aby wyłączyć 2FA ofiary za pomocą jednego żądania POST.

WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na trwałe cross-site scripting (XSS) we wtyczce Live. Widok w stylu YouTube wyświetla klucz strumienia na żywo w atrybucie klasy HTML przez surowe echo, bez użycia htmlspecialchars(). Użytkownik z uprawnieniami canStream może utrwalić klucz zawierający " i procedurę obsługi zdarzeń przez plugin/Live/saveLive.php, a każdy odwiedzający stronę strumienia wykonuje JavaScript atakującego w kontekście platformy.

WWBN AVideo do wersji 26.0 włącznie pozwala uwierzytelnionemu uploaderowi na obejście walidacji SSRF poprzez kontrolowane wartości downloadURL z rozszerzeniami .mp4, .mp3, .zip, .jpg, .png, .gif, .webm. Serwer pobiera odpowiedź i zapisuje jako treść medialną, umożliwiając eksfiltrację odpowiedzi SSRF.

W WWBN AVideo w wersjach 26.0 i wcześniejszych, endpoint plugin/CloneSite/client.log.php udostępnia plik dziennika operacji klonowania bez żadnego uwierzytelnienia. Inne endpointy w katalogu CloneSite wymagają uprawnień administratora. Dziennik zawiera wewnętrzne ścieżki systemu plików, adresy URL zdalnych serwerów i metadane połączeń SSH.

W WWBN AVideo w wersjach 26.0 i wcześniejszych, endpoint plugin/API/check.ffmpeg.json.php bada konfigurację zdalnego serwera FFmpeg i zwraca stan połączenia bez uwierzytelnienia. Inne endpointy zarządzania FFmpeg wymagają uprawnień administratora.

W WWBN AVideo w wersjach 26.0 i wcześniejszych skrypt diagnostyczny install/test.php ma wyłączoną ochronę dostępu CLI poprzez zakomentowanie instrukcji die(). Skrypt pozostaje dostępny przez HTTP po instalacji, ujawniając statystyki widzów, w tym adresy IP, identyfikatory sesji i user-agenty, nieuwierzytelnionym odwiedzającym.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w endpointcie check.php wtyczki BlockonomicsYPT. Endpoint zwraca dane zamówienia płatności dla dowolnego adresu Bitcoin bez wymagania uwierzytelnienia, co pozwala atakującemu na odczyt rekordów płatności dla dowolnego adresu używanego na platformie.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność na Cross-Site Request Forgery (CSRF) w punkcie końcowym konfiguracji skórki odtwarzacza (admin/playerUpdate.json.php), ponieważ nie waliduje tokenów CSRF. Tabela wtyczek jest wyraźnie wykluczona z kontroli bezpieczeństwa opartej na domenie ORM za pomocą ignoreTableSecurityCheck(), co usuwa jedyną inną warstwę obrony. W połączeniu z ciasteczkami SameSite=None, żądanie POST z innego pochodzenia może zmodyfikować wygląd odtwarzacza wideo na całej platformie.

WWBN AVideo to otwarta platforma wideo. W wersjach 26.0 i wcześniejszych, endpoint dostosowywania strony admin/customize_settings_nativeUpdate.json.php nie waliduje tokena CSRF i zapisuje przesłane pliki logo na dysk przed sprawdzeniem bezpieczeństwa ORM. W połączeniu z polityką SameSite=None, atakujący z innej domeny może nadpisać logo platformy.

WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie SocialMediaPublisher, gdzie endpoint publishInstagram.json.php działa jako nieuwierzytelnione proxy do Facebook/Instagram Graph API. Umożliwia to każdemu nieuwierzytelnionemu użytkownikowi wykonywanie dowolnych zapytań do Graph API przez serwer, potencjalnie z użyciem skradzionych tokenów lub nadużywając własnych poświadczeń platformy.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność SSRF w funkcji EPG (Electronic Program Guide). Uwierzytelnieni użytkownicy z uprawnieniami do przesyłania mogą przechowywać dowolne adresy URL, które serwer pobiera przy każdej wizycie na stronie EPG. Walidacja URL jest niewystarczająca, co pozwala na skanowanie sieci wewnętrznych i dostęp do usług wewnętrznych.

WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie User_Location na stronie testIP.php, która odzwierciedla parametr ip bez kodowania wyjściowego, umożliwiając wstrzykiwanie dowolnego HTML i JavaScript. Mimo że strona jest ograniczona do adminów, konfiguracja ciasteczek SameSite=None pozwala na eksploatację międzyoriginową. Brak publicznie dostępnych łat.

WWBN AVideo w wersjach 26.0 i wcześniejszych akceptuje parametr overrideStatus w żądaniu, który pozwala każdemu przesyłającemu ustawić status wideo na dowolny stan, w tym "active" (a). Obejmuje to kontrolowane przez administratora procesy moderacji i wersji roboczych. Metoda setStatus() nie sprawdza, czy wywołujący ma uprawnienia do ustawienia danego statusu.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w pluginie StripeYPT. Punkt końcowy test.php jest dostępny dla każdego zalogowanego użytkownika, a nie tylko administratorów. Z powodu błędu w metodzie retrieveSubscriptions(), która anuluje subskrypcje zamiast je pobierać, każdy uwierzytelniony użytkownik może anulować dowolne subskrypcje Stripe, podając identyfikator subskrypcji.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera lukę w szablonie CreatePlugin dla list.json.php, który nie wymaga uwierzytelnienia ani autoryzacji. Skutkuje to 21 nieuwierzytelnionymi punktami końcowymi ujawniającymi wrażliwe dane, w tym PII użytkowników, logi transakcji płatniczych, adresy IP i nagłówki User-Agent.

WWBN AVideo w wersjach 26.0 i starszych zawiera podatność w endpointcie on_publish_done.php w pluginie Live, który pozwala nieuwierzytelnionym użytkownikom na zakończenie dowolnego aktywnego streamu na żywo. Atakujący może wyliczyć klucze streamów z endpointu stats.json.php, a następnie wysłać spreparowane żądania POST, aby zatrzymać transmisję.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność XSS w pluginie YPTSocket. Funkcja połączeń przychodzących przekazuje nazwę dzwoniącego bezpośrednio jako nagłówek w jQuery Toast Plugin, który jest wstawiany jako surowy HTML. Atakujący może ustawić swoją nazwę wyświetlaną jako ładunek XSS, a po zainicjowaniu połączenia kod wykona się w przeglądarce każdego online użytkownika bez jego interakcji.

WWBN AVideo umożliwia administratorom włączanie/wyłączanie wtyczek przez endpoint objects/pluginSwitch.json.php bez walidacji CSRF i z pominięciem walidacji domeny Referer/Origin. Atakujący może wyłączyć krytyczne wtyczki bezpieczeństwa (np. 2FA) poprzez zwabienie administratora na złośliwą stronę.

WWBN AVideo w wersji 26.0 i wcześniejszych pozwala administratorom wysyłać e-maile HTML do wszystkich użytkowników przez endpoint objects/emailAllUsers.json.php. Brak walidacji tokena CSRF, a ciasteczka sesji mają SameSite=None, co umożliwia atak CSRF z innej domeny.

WWBN AVideo w wersjach 26.0 i wcześniejszych nie koduje wartości konfiguracyjnych wtyczek przed wyświetleniem w panelu administracyjnym. Funkcja jsonToFormElements() w admin/functions.php bezpośrednio interpoluje dane użytkownika do elementów HTML, co pozwala na wstrzyknięcie dowolnego JavaScript.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w punkcie końcowym plugin/YPTWallet/view/users.json.php, który zwraca dane osobowe wszystkich użytkowników oraz salda portfeli każdemu uwierzytelnionemu użytkownikowi. Brakuje sprawdzenia uprawnień administratora.

WWBN AVideo w wersjach do 26.0 włącznie nie waliduje tokena CSRF w punkcie końcowym konfiguracji wtyczek admina (admin/save.json.php). W połączeniu z polityką SameSite=None atakujący może sfałszować żądania POST z innej domeny i nadpisać dowolne ustawienia wtyczek na sesji administratora. Obejście kontroli dostępu na poziomie tabeli umożliwia pełne przejęcie platformy.