Podatności AVideo

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting w pluginie LoginControl, który nie koduje w HTML kluczy publicznych PGP wyświetlanych w elemencie textarea. Uwierzytelniony atakujący może wstrzyknąć złośliwy JavaScript, przesyłając spreparowany klucz publiczny, który wykonuje się w sesji administratora podczas przeglądania zakładki profilu użytkownika.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting w polu profilu użytkownika 'donationLink'. Funkcja User::setDonationLink() przechowuje wartość, a save() waliduje ją tylko przez filter_var(..., FILTER_VALIDATE_URL), co akceptuje ciągi takie jak http://evil.example/"onmouseover=alert(document.domain)//, podczas gdy getDonationLink() stosuje jedynie strip_tags() i nie koduje cudzysłowów. Uwierzytelniony użytkownik aktualizujący własny profil może przerwać atrybut href i wstrzyknąć obsługę zdarzeń wykonującą JavaScript w przeglądarce każdego odwiedzającego, w tym administratora.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera nieuwierzytelnioną podatność odczytu plików w endpointcie getRecordedFile.php, który strumieniuje nagrane pliki FLV z katalogu tymczasowego. Atakujący mogą wywołać endpoint ze znanym lub odgadniętym kluczem strumienia, aby pobrać nagrane pliki wideo na żywo bez uwierzytelnienia i kontroli autoryzacji.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie sprawdza uwierzytelnienia ani autoryzacji w pliku plugin/WebRTC/status.json.php. Gdy wtyczka WebRTC jest obecna, każdy nieuwierzytelniony użytkownik może uzyskać JSON zawierający ścieżkę do binarki WebRTC2RTMP, port, status pliku, zawartość logów oraz informację o osiągalności portu.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność cross-site request forgery w pliku playlistRemove.php, która pozwala atakującym usuwać playlisty poprzez pominięcie kontroli CSRF. Atakujący może stworzyć złośliwy formularz wysyłający POST do playlistRemove.php.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność reflected cross-site scripting w pliku plugin/Live/confirmLivePassword.php. Parametr GET u jest wstawiany bez kodowania do atrybutu src znacznika img, umożliwiając wstrzyknięcie dodatkowego znacznika z procedurą onerror.

AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność typu open redirect w pliku objects/playlistSort.php. Ponieważ endpoint nie jest skryptem *.json.php, automatyczna ochrona CSRF (autoCSRFGuard()/forbidIfIsUntrustedRequest()) nie jest uruchamiana, a gdy żądanie zawiera parametr sort, skrypt wysyła nagłówek Location ustawiony na niezwalidowaną wartość $_SERVER['HTTP_REFERER'] bez wywołania isSafeRedirectURL(). Zdalny, nieuwierzytelniony atakujący może nakłonić zalogowanego użytkownika mającego uprawnienia do zarządzania docelową playlistą do wysłania cross-origin POST ze spreparowanym Refererem, powodując zmianę kolejności playlisty ofiary i przekierowanie przeglądarki ofiary z zaufanego adresu AVideo na stronę kontrolowaną przez atakującego w celu phishingu. Brak dostępnej wersji z poprawką.

AVideo do rewizji c3edcc274c389816d434acadac07ee78eaf330c1 nie wymusza sprawdzenia hasła transmisji na żywo w endpoincie statystyk ani w źródle HLS. Funkcja Live::_getStats() zwraca nieuwierzytelnionym wywołującym klucz strumienia RTMP, flagę isPasswordProtected oraz adres URL HLS, a dołączona konfiguracja NGINX udostępnia playlistę .m3u8, klucz AES-128 i segmenty transport-stream bez uwierzytelniania.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność cross-site request forgery w pliku view/logArchive.json.php. Nieuwierzytelnieni atakujący mogą archiwizować logi aplikacji, wysyłając żądania GET bez weryfikacji tokenu CSRF, kopiując wrażliwe logi do publicznie dostępnego pliku ZIP i obcinając bieżący log.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność cross-site request forgery w endpoincie setPassword.json.php. Nieuwierzytelnieni atakujący mogą modyfikować hasło kanału dowolnego użytkownika, wysyłając żądanie GET bez weryfikacji tokenu CSRF.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting we wtyczce LiveLinks, gdzie pola title i description są przechowywane bez sanityzacji. Użytkownik z uprawnieniem canStream może wstrzyknąć złośliwe skrypty, które wykonują się w przeglądarce każdego odwiedzającego stronę live-link, w tym administratorów.

WWBN AVideo w wersjach do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting. Plik objects/categoryAddNew.json.php przekazuje parametry POST name i iconClass do Category::setName() i Category::setIconClass(), które przechowują wartości bez sanityzacji, a następnie są one odzwierciedlane jako HTML w widokach i kartach galerii.

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma podatność na atak SSRF. Dwa punkty końcowe nieprawidłowo walidują dostarczone przez użytkownika adresy URL, co pozwala atakującemu na przekierowanie do wewnętrznych zasobów.

AVideo to otwartoźródłowa platforma wideo, która w wersjach do 29.0 ujawnia lokalny sekret CloneSite w odpowiedzi HTTP na każde nieautoryzowane żądanie. Sekret ten może być wykorzystany przez atakującego do podszywania się pod ofiarę i uzyskania dostępu do zdalnej bazy danych.

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma lukę umożliwiającą atakującemu bez uwierzytelnienia wysyłanie złośliwych wiadomości przez WebSocket. Luka ta wynika z niewłaściwego przetwarzania danych JSON, co pozwala na wykonanie kodu PHP na serwerze.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting (XSS) w endpoincie log.php wtyczki AD_Server, który nie escapuje parametru label przed zapisem. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy HTML przez parametr label, który jest później renderowany bez sanityzacji w raporcie Ad Types w panelu administratora przy użyciu jQuery .html(), co pozwala na wykonanie dowolnego JavaScriptu w sesji przeglądarki administratora.

WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.

WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.

AVideo zawiera nieuwierzytelnioną podatność na dowolny zapis plików w punkcie końcowym aVideoEncoderChunk.json.php, co pozwala zdalnym atakującym na zapis do 4 GB dowolnej treści na serwerze przez żądania HTTP PUT bez uwierzytelnienia.

AVideo przed wersją 29.0 zawiera niekompletną poprawkę dla CVE-2026-45578. Funkcja execAsync() ponownie opakowuje uciekające komendy w podwójnie cudzysłowowe sh -c, co umożliwia podstawianie komend przez $() i backticks. Atakujący mogą wstrzykiwać dowolne komendy OS przez endpoint on_publish.php wtyczki Live, pomimo ochrony escapeshellarg().

WWBN AVideo przed wersją 29.0 zawiera podatność na trwałe DOM Cross-Site Scripting w pluginie YPTSocket. Niezautoryzowany atakujący może zdalnie wykonać dowolny kod JavaScript w kontekście administratora przeglądającego panel debugowania online użytkowników.

AVideo w wersjach od 14.3.1 do 20.1 zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu spowodowaną przewidywalnym generowaniem soli instalacyjnej przy użyciu PHP uniqid(). Znacznik czasu instalacji jest ujawniany przez publiczny endpoint, a pochodny identyfikator hasha jest dostępny przez nieuwierzytelnione odpowiedzi API, co pozwala atakującym na brute-force pozostałej entropii. Odzyskana sól może być użyta do zaszyfrowania złośliwego ładunku dostarczonego do endpointu API powiadomień, który ocenia dane kontrolowane przez atakującego, co prowadzi do wykonania dowolnego kodu jako użytkownik serwera WWW.

AVideo w wersjach przed 20.1 z włączoną wtyczką ImageGallery jest podatny na nieuwierzytelnione przesyłanie i usuwanie plików. Punkty końcowe wtyczki odpowiedzialne za zarządzanie obrazami galerii nie egzekwują kontroli uwierzytelniania i nie walidują własności, co pozwala nieuwierzytelnionym atakującym na przesyłanie lub usuwanie obrazów związanych z dowolnym wideo opartym na obrazach.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 używa kryptograficznie słabego generatora liczb pseudolosowych do tworzenia kodów aktywacji konta i parowania logowania. getRandomCode() w objects/functions.php opiera się głównie na uniqid(), co ogranicza przestrzeń kodów do około 36 x 10^6 wartości dla znanej sekundy generacji, a nieuwierzytelniony atakujący może odgadnąć ważny kod i uzyskać dostęp do konta.

AVideo do wersji c3edcc274c389816d434acadac07ee78eaf330c1 używa kryptograficznie słabych wartości uniqid() jako kluczy publikowania RTMP w LiveTransmition, ograniczając entropię klucza do około miliona możliwości na sekundę utworzenia. Atakujący znający czas utworzenia kanału może brute-force'ować pięciocyfrowy komponent mikrosekundowy, aby sfałszować prawidłowe klucze strumienia i nadawać jako właściciel kanału.

AVideo do wersji 29.0 nie weryfikuje uprawnień dostępu do wideo w funkcji set_api_comment, co pozwala uwierzytelnionym użytkownikom dodawać komentarze do filmów chronionych hasłem lub ograniczonych dla grup. Atakujący mogą wysyłać żądania POST do punktu końcowego API komentarzy z dowolnymi identyfikatorami wideo.

AVideo do wersji 29.0 nie waliduje uprawnień dostępu do wideo w punkcie końcowym API like, co pozwala zalogowanym użytkownikom głosować na filmy chronione hasłem lub ograniczone dla grup. Atakujący mogą wysyłać żądania like/dislike, aby zwiększać liczniki głosów na filmach, których nie mogą oglądać.

AVideo do wersji 29.0 zawiera podatność na trwały cross-site scripting (XSS). Nieuwierzytelniony punkt końcowy zliczania wyświetleń zapisuje User-Agent atakującego bezpośrednio do bazy danych, a następnie jest on renderowany bez escapowania na stronie statystyk właściciela wideo i administratora, co pozwala na wykonanie złośliwego kodu w ich sesjach.

AVideo do wersji 29.0 zawiera wyścig w funkcji enforceRateLimit(), która nie atomowo zwiększa liczników ograniczeń, co pozwala atakującym ominąć wszystkie limity, w tym ochronę przed brute-force na logowanie, poprzez wysyłanie równoczesnych żądań. Atakujący mogą przekroczyć limit 30 prób na 5 minut dowolną liczbę razy.

AVideo (WWBN/AVideo) do wersji 29.0 jest podatny na cross-site request forgery (CSRF). Mechanizm ochrony CSRF jest wyłączany, gdy w żądaniu obecne są parametry 'user' i 'pass', ale ich wartości nie są weryfikowane. Atakujący może wykorzystać to do modyfikacji rekordów wideo, w tym przeniesienia własności, usunięcia ograniczeń dostępu i innych zmian.

W AVideo do wersji 29.0, konstruktor Like::__construct() wykonuje operacje arytmetyczne na surowych wartościach żądań przed walidacją, co pozwala na desynchronizację przechowywanych głosów od liczników. Uwierzytelnieni atakujący mogą wysyłać parametry typu tablicowego, aby doprowadzić liczniki polubień do dowolnie niskich wartości, a uszkodzenie utrzymuje się do ręcznej naprawy.

Wtyczka CloneSite w AVideo do wersji 29.0 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego (OS command injection) typu stored. Hasło SSH przechowywane w konfiguracji jest podstawiane do polecenia `sshpass -p '{password}' rsync ...` bez odpowiedniego escapowania, co pozwala na wstrzyknięcie dowolnego polecenia przez znak pojedynczego cudzysłowu. Atak wymaga uprzedniego nakłonienia administratora do zapisania złośliwego hasła przez wektor CSRF, a następnie wykonania zaplanowanego zadania cron.

W AVideo do wersji 29.0, funkcja autoCSRFGuard() utrzymuje listę wyjątków CSRF opartą na nazwach plików bez kontekstu katalogu, co pozwala plikom wtyczek o nazwach zgodnych z plikami rdzenia na dziedziczenie wyjątków CSRF. Wtyczka LoginWordPress (login.json.php) dziedziczy wyjątek i bezwarunkowo wylogowuje uwierzytelnionych użytkowników na żądania cross-site przed walidacją poświadczeń.

WWBN AVideo do wersji 29.0 zawiera podatność obejścia uwierzytelniania, w której przechowywany hash hasła jest akceptowany jako prawidłowe poświadczenie logowania przez dwie niezależne ścieżki kodu w loginFromRequest() i encryptPasswordVerify(). Atakujący, który uzyska wartość przechowywanego hasha users.password, może uwierzytelnić się jako dowolny użytkownik, przesyłając hash bezpośrednio do endpointów logowania, całkowicie omijając weryfikację hasła.

W AVideo do wersji 29.0 endpoint API get_api_video zawiera podatność złamanej kontroli dostępu w gałęzi clean_title, która zwraca filmy ograniczone do grup użytkowników wraz z danymi osobowymi właściciela anonimowym wywołującym. Atakujący mogą odpytywać filmy po ich publicznym slug, aby obejść ograniczenia grupowe i uzyskać wrażliwe pola użytkownika, w tym email, telefon, adres, datę urodzenia i status administratora.

AVideo w wersji do 29.0 zawiera podatność typu blind SSRF w funkcji getHeaderContentTypeFromURL, która wykonuje wywołania get_headers() chronione jedynie walidacją formatu. Uwierzytelnieni użytkownicy z uprawnieniem canUpload mogą zapisać wybrane przez atakującego adresy URL jako linki do filmów, co powoduje wykonanie podatnej funkcji przy każdym renderowaniu strony odtwarzania wideo w celu sondowania wewnętrznych hostów.

AVideo w wersji do 29.0 zawiera nieuwierzytelnioną podatność typu SSRF w funkcji check_site_availability, która akceptuje nagłówki HTTP Host kontrolowane przez atakującego. Atakujący mogą wysyłać żądania do submitIndex.php lub ajax.php z dowolnymi nagłówkami Host, aby sondować wewnętrzne hosty i porty sieciowe, podążając za przekierowaniami bez uwierzytelnienia.

AVideo do wersji 29.0 zawiera podatność IDOR w pliku objects/categoryDeleteAssets.json.php. Endpoint sprawdza jedynie uprawnienie Category::canCreateCategory() oraz nonce CSRF, po czym przekazuje parametr id do Category::deleteAssets(), co rekursywnie usuwa katalog zasobów kategorii. Brakuje sprawdzenia właściciela Category::userCanEditCategory(), które stosuje sąsiednia metoda Category::delete().

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting w pluginie Bookmark, gdzie nazwy rozdziałów nie są kodowane przed wstawieniem do publicznego HTML strony odtwarzania. Właściciel wideo może wstrzyknąć złośliwe skrypty poprzez parametr nazwy zakładki, a każdy odwiedzający to wideo wykonuje ładunek w domenie AVideo.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting w pluginie CustomizeUser, gdzie parametr field_name jest przechowywany bez sanityzacji. Administratorzy mogą wstrzyknąć złośliwe skrypty poprzez endpoint add.json.php, które wykonują się podczas przeglądania stron z dodatkowymi informacjami lub formularzy profilu renderujących funkcję typeToHTML.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie weryfikuje własności w pliku addLiveLink.php podczas aktualizacji LiveLinks. Uwierzytelniony użytkownik może nadpisać źródło HLS i metadane cudzego LiveLinka, podając istniejący linkId.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie waliduje wyświetleń reklam w pliku plugin/AD_Server/log.php. Zalogowani użytkownicy mogą przesyłać dowolne wartości label, co powoduje niezweryfikowane naliczenie środków na portfele właścicieli filmów kampanii.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność XML injection w pliku plugin/AD_Server/VMAP.php, osiągalną bez uwierzytelnienia przy włączonej wtyczce AD_Server. Wartości timeOffset i idTag z parametru vmaps są zapisywane bez kodowania do atrybutów VMAP, umożliwiając wstrzyknięcie dowolnych węzłów AdBreak i AdTagURI.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność CSV formula injection w endpointcie myComments.download.php, który nie sanityzuje prefiksów formuł arkusza kalkulacyjnego w treści komentarzy. Uwierzytelnieni użytkownicy mogą wstrzykiwać formuły zaczynające się od =, +, - lub @.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność reflected cross-site scripting w pliku plugin/Gallery/view/Category.php, gdy włączone są SubCategorys. Parametr getBackURL jest odzwierciedlany w atrybucie href bez kodowania HTML.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność reflected cross-site scripting w pliku confirmLivePassword.php, który kopiuje REQUEST_URI do atrybutu action formularza bez kodowania. Atakujący może stworzyć złośliwy URL ze znakiem cudzysłowu, aby wyłamać się z atrybutu action.

AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność typu reflected cross-site scripting w funkcji showAlertMessage(), która wstawia surowy nagłówek Referer do komentarza JavaScript bez kodowania. Atakujący może przygotować nagłówek Referer zawierający */, aby zamknąć komentarz i wstrzyknąć dowolny JavaScript wykonywany w kontekście witryny dla odwiedzających przychodzących ze strony kontrolowanej przez atakującego.

AVideo do rewizji c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność braku autoryzacji w pliku plugin/PlayerSkins/seo.php. Nieuwierzytelniony atakujący może uzyskać dostęp do źródeł wideo chronionych hasłem, wywołując getSources() bez weryfikacji hasła i pobierając bezpośredni adres URL pliku MP4.

AVideo do rewizji c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) niekompletnie oczyszcza wrażliwe pola użytkownika w odpowiedzi APIName=video. Wiersze wideo zawierają kolumny dołączone z rekordu właściciela, a API::get_api_video() wywołuje removeSensitiveUserFields() tylko gdy wywołujący nie jest uwierzytelniony i nie używa ważnego sekretu API; nigdy nie porównuje User::getId() z users_id wiersza. W rezultacie każde konto o niskich uprawnieniach może zażądać wideo innego użytkownika i otrzymać jego adres e-mail, nazwę konta (user) oraz flagi isAdmin, canUpload i canStream.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) zawiera podatność CSRF w punkcie końcowym plugin/CustomizeUser/setSubscribers.json.php wtyczki CustomizeUser. Skrypt odczytuje users_id i ExtraSubscribers z $_REQUEST i wywołuje User::setExtraSubscribers() bez wymogu żądania POST ani ważnego tokenu CSRF; autoCSRFGuard() jest stosowany tylko do żądań POST do *.json.php, a mutacja nie przechodzi przez ObjectYPT::save()/isUntrustedRequest(), więc cross-origin GET kończy się sukcesem. Nieuwierzytelniony zdalny atakujący może nakłonić zalogowanego administratora do wczytania spreparowanej strony (np. tagu <img> wskazującego na endpoint) i sfałszować liczbę ExtraSubscribers wyświetlaną na kanale dowolnego użytkownika.