Podatności WWBN AVideo

WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność stored XSS w metodzie UserGroups::setGroup_name(), która nie sanityzuje danych wejściowych group_name. Administratorzy z uprawnieniem canAdminUserGroups mogą wstrzyknąć złośliwy HTML i JavaScript, który wykonuje się w przeglądarce innych administratorów odwiedzających interfejs zarządzania użytkownikami.

WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.

WWBN AVideo zawiera podatność uszkodzonej kontroli dostępu w punktach końcowych videoViewsInfo, która zwraca kompletne rekordy użytkowników, w tym hashe haseł, tokeny odzyskiwania i identyfikatory sesji na żywo, nieuwierzytelnionym wywołującym po podaniu parametru hash. Atakujący mogą wykorzystać ujawniony identyfikator sesji do przejęcia sesji widzów, w tym kont administratorów, oraz uzyskać wrażliwe dane osobowe wszystkich widzów.

WWBN AVideo zawiera podatność typu path traversal w pliku notify.ffmpeg.json.php, która pozwala nieuwierzytelnionym atakującym zapisywać pliki w dowolnych lokalizacjach poprzez podanie wybranego przez siebie ścieżki w parametrze avideoRelativePath. Atakujący mogą odtworzyć dowolny wcześniej wydany szyfrogram jako token notifyCode, który jest odszyfrowywany, ale nigdy nie weryfikowany, aby ominąć uwierzytelnianie i zapisywać pliki w katalogu głównym aplikacji i podkatalogach.

WWBN AVideo zawiera podatność uwierzytelniania, gdzie poświadczenie video_id_hash jest nie wygasającym, nieodwołalnym tokenem typu bearer, który przyznaje pełny dostęp do sesji administratora na koncie właściciela wideo. Atakujący, którzy zdobędą video_id_hash, mogą go odtwarzać w nieskończoność, aby uwierzytelnić się jako właściciel wideo z pełnymi uprawnieniami, a poświadczenie pozostaje ważne nawet po zmianie hasła przez właściciela.

WWBN AVideo do commita e01e41ecc zawiera błąd kontroli dostępu w objects/userVerifyEmail.php. Skrypt wyłącza wymóg logowania, pobiera users_id bezpośrednio z query stringa i wywołuje User::sendVerificationLink() bez sesji, tokenu CSRF, sprawdzenia relacji czy limitu szybkości, co pozwala nieuwierzytelnionemu atakującemu wysyłać dowolną liczbę e-maili weryfikacyjnych, enumerować konta i zapisywać tokeny odzyskiwania hasła na kontach ofiar.

WWBN AVideo do wersji 29.0 nie egzekwuje ograniczeń grup użytkowników w endpointach plugin/Live/stats.json.php i plugin/Live/calendar.json.php. Nieuwierzytelnieni atakujący mogą uzyskać szczegóły transmisji na żywo, w tym klucze strumieniowe, tytuły, opisy, informacje o właścicielu oraz bezpośrednie adresy URL odtwarzania HLS, uzyskując dostęp do tych endpointów.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie waliduje własności playlisty w punktach końcowych Playlists_schedules/list.json.php i Live/calendar.json.php, co pozwala uwierzytelnionym i nieuwierzytelnionym użytkownikom na odczyt prywatnych metadanych harmonogramu playlisty. Atakujący z uprawnieniami canStream lub bez uwierzytelnienia mogą pobrać nazwy harmonogramów, opisy, znaczniki czasu i identyfikatory playlist, odpytywując te punkty końcowe bez sprawdzania własności.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie waliduje własności playlisty w punkcie końcowym API video_from_program, co pozwala na nieuwierzytelniony dostęp do zawartości prywatnych playlist. Atakujący mogą odpytywać API bez uwierzytelnienia, aby wyliczać nazwy prywatnych playlist, informacje o właścicielu i tytuły filmów, w tym treści chronione hasłem.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie sprawdza autoryzacji użytkownika w punkcie końcowym PlayerSkins mediaSession.json.php przed zwróceniem metadanych filmu. Nieuwierzytelnieni atakujący mogą odpytać ten punkt końcowy z parametrem identyfikatora filmu, aby uzyskać tytuły filmów chronionych hasłem oraz adresy e-mail właścicieli bez uwierzytelnienia.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie autoryzuje prawidłowo dostępu do punktu końcowego videosAndroid.json.php, co pozwala nieuwierzytelnionym gościom na wyświetlanie filmów chronionych hasłem wraz z wrażliwymi informacjami o właścicielu. Atakujący mogą pobrać metadane filmów, w tym adres e-mail właściciela, lastLogin, nazwę pliku i hashId, wysyłając nieuwierzytelnione żądanie GET do tego punktu końcowego.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie waliduje uprawnień użytkownika w punkcie końcowym ImageGallery list.json.php, co pozwala na nieuwierzytelniony dostęp do listy plików galerii. Atakujący mogą pobrać nazwy plików i adresy URL galerii obrazów chronionych hasłem, uzyskując bezpośredni dostęp do punktu końcowego, a następnie pobrać ujawnione pliki bez uwierzytelnienia.

Wtyczka Bookmark w WWBN AVideo nie weryfikuje uprawnień użytkownika w punkcie końcowym getBookmarks.json.php. Nieuwierzytelniony atakujący może odczytać nazwy rozdziałów z filmów chronionych hasłem, podając identyfikator filmu w zapytaniu.

Punkt końcowy like.json.php w WWBN AVideo nie weryfikuje uprawnień dostępu do filmu. Zalogowani użytkownicy mogą dodawać polubienia do filmów chronionych hasłem i ograniczonych grupowo, zliczając polubienia bez możliwości obejrzenia materiału.

Punkt końcowy commentAddNew.json.php w WWBN AVideo nie weryfikuje uprawnień dostępu do filmu. Uwierzytelnieni użytkownicy mogą dodawać komentarze do filmów chronionych hasłem i ograniczonych grupowo, obchodząc kontrolę dostępu.

Punkt końcowy videoAddViewCount.json.php w WWBN AVideo nie weryfikuje uprawnień dostępu do filmu przed aktualizacją statystyk wyświetleń. Uwierzytelnieni atakujący mogą zwiększać liczniki wyświetleń i czas oglądania filmów, do których nie mają dostępu, podając dowolne identyfikatory filmów.

Wtyczka Live w WWBN AVideo zawiera lukę braku uwierzytelnienia w pliku plugin/Live/socketMessageLiveOwner.json.php. Nieuwierzytelniony atakujący znający klucz transmisji administratora może wysyłać dowolne komunikaty powiadomień w aplikacji do tego administratora, bez sprawdzania logowania i tokenu CSRF.

Punkt końcowy remindMe.json.php w WWBN AVideo nie weryfikuje, czy zalogowany użytkownik ma dostęp do harmonogramów transmisji na żywo przed utworzeniem przypomnienia. Uwierzytelnieni atakujący mogą tworzyć przypomnienia dla prywatnych harmonogramów, których nie mogą wyświetlić, i poznać ich tytuł z wygenerowanego e-maila.

Punkt końcowy plugin/TopMenu/menus.json.php w WWBN AVideo nie wymaga uwierzytelnienia. Nieuwierzytelnieni atakujący mogą odczytać wszystkie dane menu, w tym nazwy menu nieaktywnych i przeznaczonych tylko dla administratorów, które nie są widoczne w publicznym pasku nawigacji.

Punkt końcowy playListAddVideo.json.php w WWBN AVideo nie weryfikuje uprawnień do oglądania przy dodawaniu filmów do playlist. Uwierzytelnieni atakujący mogą dodawać filmy chronione hasłem, których nie mogą obejrzeć, do własnych playlist, podając identyfikatory filmu i playlisty.

Punkt końcowy plugin/TopMenu/menuItems.json.php w WWBN AVideo zawiera lukę braku uwierzytelnienia. Nieuwierzytelnieni atakujący mogą odczytać nieaktywne elementy menu administratora, wysyłając żądanie POST z parametrem menuId, w tym ukryte adresy URL z wbudowanymi tajnymi parametrami zapytań narzędzi administracyjnych.

Punkt końcowy playlistsFromUser.json.php w WWBN AVideo zawiera lukę braku autoryzacji. Nieuwierzytelnieni atakujący mogą odczytać prywatne playlisty innych użytkowników, podając ich identyfikator, w tym playlisty Ulubione i Do obejrzenia, z powodu nieprawidłowego kluczowania pamięci podręcznej.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność braku autoryzacji w pliku plugin/Scheduler/sendEmail.json.php, która pozwala nieuwierzytelnionym atakującym na dostęp do zadań e-mail schedulera poprzez podanie ogólnodostępnego dziennego tokenu. Atakujący mogą wyliczać zadania schedulera, odczytywać prywatne tytuły transmisji na żywo oraz adresy e-mail, a także wywoływać wysyłkę wiadomości e-mail, dostarczając dowolny ważny dzienny token uzyskany ze stron Live.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie autoryzuje dostępu do endpointu API adsInfo. Nieuwierzytelniony atakujący może wywołać adsInfo z parametrem videos_id i uzyskać identyfikator właściciela chronionego hasłem wideo oraz spersonalizowane adresy URL kreacji reklamowych bez żadnych sprawdzeń uprawnień.

WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność SSRF w funkcji _json_decode, która pobiera zdalne adresy URL i lokalne ścieżki plików bez walidacji SSRF. Nieuwierzytelnieni atakujący mogą wysyłać ścieżki plików lub adresy HTTP do login.json.php, aby odczytać lokalne pliki lub uzyskać dostęp do usług wewnętrznych, a wyniki są parsowane jako dane logowania.

WWBN AVideo do commit e01e41ecc (brak dostępnej wersji z poprawką) udostępnia get_api_preauthorize w plugin/API/API.php jako drugą, nieudokumentowaną ścieżkę logowania. W przeciwieństwie do get_api_signIn, która egzekwuje limit 10 prób na 5 minut przez checkRateLimit(), get_api_preauthorize wykonuje tę samą kontrolę poświadczeń bez ograniczania tempa dla dowolnego klienta, co pozwala na nieograniczone zdalne zgadywanie haseł dla dowolnych kont, w tym administratora. Endpoint działa również jako wyrocznia poświadczeń: zwraca komunikat "Invalid credentials" zarówno dla poprawnych, jak i błędnych haseł, podczas gdy pole users_id w treści odpowiedzi ujawnia uwierzytelnioną tożsamość (users_id:1 przy sukcesie, users_id:0 przy porażce), a poprawne hasło ustanawia ciasteczko sesji, które pozostaje użyteczne dla uwierzytelnionych żądań API. Razem te problemy umożliwiają nieuwierzytelnione przejęcie konta przez brute-force.

WWBN AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 nie weryfikuje własności live_restreams_id w resendRestreamer.json.php, co pozwala uwierzytelnionym użytkownikom z uprawnieniem canStream na dostęp do celów restreamowania innych użytkowników. Atakujący mogą nadawać swój strumień na żywo do celów restreamowania skonfigurowanych przez ofiarę, podając dowolne wartości live_restreams_id, przejmując strumienie YouTube, Facebook lub Twitch przy użyciu kluczy strumieniowych ofiary.

WWBN AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na cross-site request forgery w deleteHistory.json.php i finishAll.json.php, która pozwala nieuwierzytelnionym atakującym na modyfikowanie historii transmisji na żywo poprzez wysyłanie żądań GET bez walidacji tokena CSRF. Atakujący mogą tworzyć złośliwe strony, które wyzwalają przeglądarki administratorów do usunięcia całej historii transmisji na żywo lub oznaczenia strumieni jako zakończonych, gdy administrator odwiedzi stronę kontrolowaną przez atakującego.

WWBN AVideo zawiera podatność polegającą na złamanej kontroli dostępu w nieuwierzytelnionym punkcie końcowym feed/index.php, która wyłącza sprawdzanie widoczności poszczególnych filmów, gdy podany jest parametr program_id. Atakujący mogą enumerować identyfikatory playlist i pobierać filmy niepubliczne oraz ograniczone do grup, żądając kanału RSS z dowolnym widocznym identyfikatorem playlisty, w tym pustymi playlistami, które zwracają cały ukryty katalog filmów witryny.

WWBN AVideo nieprawidłowo weryfikuje kontrolę dostępu na publicznej stronie kanału, co pozwala nieuwierzytelnionym odwiedzającym na oglądanie filmów niepublicznych i ograniczonych do grup poprzez zakodowane na stałe flagi widoczności i niezdefiniowaną właściwość. Atakujący mogą uzyskać dostęp do punktu końcowego kanału, aby pobrać wrażliwe treści wideo, które powinny być ukryte, w tym pełne adresy URL do niepublicznych filmów i miniatury treści tylko dla członków, niezależnie od ustawienia hidePrivateVideos operatora.

WWBN AVideo zawiera podatność na wstrzykiwanie SQL w parametrze sortowania punktu końcowego get.json.php z APIName=channels, która pozwala nieuwierzytelnionym atakującym na sortowanie wyników według dowolnych kolumn bazy danych, w tym users.password i users.recoverPass. Atakujący mogą wykorzystać ten mechanizm do odgadnięcia wartości skrótów haseł i tokenów odzyskiwania, a także wywołać błędy SQL ujawniające pełne zapytanie i schemat bazy danych.

WWBN AVideo do commita 9c39d8c8 zawiera podatność na cross-site request forgery (CSRF) w funkcjach get_domain() i isSameDomain(), które nieprawidłowo weryfikują pochodzenie nagłówka Referer. Atakujący mogą sfałszować żądania z siostrzanych subdomen lub nieparsowalnych długich domen gTLD, aby wykonywać administracyjne zapisy ObjectYPT, w tym zmiany konfiguracji serwera na żywo.

WWBN AVideo zawiera podatność na path traversal w punkcie API get_api_login_code, która pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików .log poprzez podanie sekwencji przejścia do katalogów w parametrze code. Atakujący mogą wykorzystać to do zniszczenia dzienników audytowych i badania istnienia plików na serwerze, a podatność umożliwia zarówno usuwanie plików, jak i ujawnianie informacji o systemie plików.

WWBN AVideo nie weryfikuje zaufanych proxy przed zaakceptowaniem nagłówków X-Real-IP i X-Forwarded-For, co pozwala atakującym na sfałszowanie adresu klienta używanego przez funkcję enforceRateLimit(). Atakujący mogą zmieniać wartość nagłówka przy każdym żądaniu, aby ominąć ograniczenia logowania i przeprowadzać nieograniczone ataki polegające na zgadywaniu haseł.

WWBN AVideo zawiera podatność na cross-site request forgery w sendEmail.json.php, która pozwala uwierzytelnionym administratorom na wysyłanie wiadomości e-mail z adresu kontaktowego witryny, omijając sprawdzanie pochodzenia i walidację captcha. Atakujący mogą stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego administratora wysyła e-maile z treścią kontrolowaną przez atakującego do dowolnych odbiorców, przechodząc walidację SPF/DKIM/DMARC do ataków phishingowych i podszywania się pod markę.

WWBN AVideo zawiera nieuwierzytelnioną podatność na odbity cross-site scripting w endpointcie url2Embed.json.php, która pozwala atakującym na wstrzykiwanie złośliwych skryptów poprzez dostarczanie adresów URL z metaznakami HTML. Atakujący mogą utworzyć zaszyfrowany payload evideo z nieoznaczonym znacznikiem, a następnie dostarczyć go jako wyglądający na legalny link na własnej domenie witryny, aby wykonać JavaScript w sesjach ofiar i ukraść ciasteczka lub tokeny CSRF.

WWBN AVideo (do wersji e01e41ecc i wcześniejszych) zawiera obejście limitu szybkości w funkcji enforceRateLimit(), która chroni login.json.php i 13 innych punktów końcowych. Licznik prób jest przechowywany w warstwie cache, która ignoruje zapisy dla klientów identyfikowanych jako boty przez isBot(). Ponieważ isBot() traktuje brak nagłówka User-Agent jako bota, atakujący może wysyłać nieograniczoną liczbę prób logowania, co umożliwia ataki brute-force na hasła.

WWBN AVideo zawiera nieuwierzytelnioną podatność na przesyłanie poświadczeń w plugin/Live/api/preauthorize.json.php, która akceptuje poświadczenia przez GET bez ograniczania szybkości. Atakujący mogą wielokrotnie przesyłać poprawne poświadczenia, aby wywołać nieograniczone e-maile potwierdzające dwuskładnikowe uwierzytelnianie oraz prowadzić ciągłe ataki polegające na zgadywaniu haseł na kontach użytkowników.

WWBN AVideo w wersjach 29.0 i starszych jest podatny na wstrzykiwanie poleceń systemu operacyjnego. Poprawka dla CVE-2026-33482 była niekompletna i nie usuwa pojedynczego znaku & (operatora tła powłoki), co pozwala na łączenie wielu poleceń.

W WWBN AVideo przed wersją 29.0 odkryto podatność w handlerze webhook Authorize.Net, która pozwala atakującemu na ominięcie weryfikacji podpisu i sfałszowanie żądań webhook z dowolnymi kwotami płatności oraz identyfikatorami użytkowników. Atakujący może zasilić portfel dowolnego użytkownika bez rzeczywistej płatności, a także aktywować subskrypcje premium, co prowadzi do bezpłatnego dostępu do płatnych treści i strat finansowych.

Podatność w WWBN AVideo przed wersją 29.0 umożliwia eskalację uprawnień poprzez niechronione parametry w API rejestracji. Każdy użytkownik, który rozwiąże CAPTCHA, może samodzielnie nadać sobie podwyższone uprawnienia, takie jak potwierdzenie e-maila, możliwość przesyłania plików, strumieniowania i tworzenia spotkań.

W platformie WWBN AVideo w wersji 29.0 i wcześniejszych, endpoint plugin/AuthorizeNet/processPayment.json.php dodaje środki do portfela zalogowanego użytkownika na podstawie parametru amount przesłanego przez atakującego, bez walidacji transakcji Authorize.Net. Pozwala to każdemu zalogowanemu użytkownikowi na dodanie dowolnych środków do swojego portfela AVideo.

WWBN AVideo w wersji 29.0 i wcześniejszych przechowuje opisy kategorii pochodzące od użytkownika i renderuje je jako surowy HTML w widoku Galerii. Użytkownik z możliwością tworzenia lub edycji kategorii może przechowywać JavaScript w opisie kategorii, który wykonuje się podczas przeglądania strony kategorii przez innego użytkownika. Jest to podatność na atak XSS (stored) w polu opisu kategorii.

WWBN AVideo to otwarta platforma wideo. W wersji 29.0 i wcześniejszych, nieuwierzytelniony zdalny atakujący może odczytać dowolne pliki graficzne na dysku, które użytkownik PHP może otworzyć – w tym prywatne zdjęcia profilowe, miniatury przesłane przez administratora, ramki plakatów zaszyfrowanych filmów oraz treści graficzne z katalogów aplikacji podrzędnych dostępne poprzez nawigację .. . Endpoint nie wymaga uwierzytelnienia.

W platformie WWBN AVideo (wersje 29.0 i wcześniejsze) skrypt view/update.php odczytuje parametr $_POST['updateFile'] jako względną ścieżkę w katalogu updatedb/ i przekazuje go do funkcji PHP file() w celu wykonania linia po linii jako część migracji bazy danych. Uwierzytelniony administrator może to wykorzystać do odczytu dowolnych plików tekstowych dostępnych z procesu serwera WWW.

W WWBN AVideo w wersji 29.0 i wcześniejszych, plik objects/mention.json.php nie ma sprawdzania uwierzytelnienia ani bramy administracyjnej. Posiada jedynie prostą kontrolę wejścia: preg_match('/^@/', $_REQUEST['term']) i zakodowaną na stałe wartość rowCount=10. Umożliwia to nieuwierzytelnionemu atakującemu enumerację użytkowników.

WWBN AVideo w wersji 29.0 i wcześniejszych nie używa parametru wyjściowego $resolvedIP funkcji isSSRFSafeURL() do przypinania DNS przez CURLOPT_RESOLVE w plikach EpgParser.php, plugin/AI/receiveAsync.json.php i innych. Otwiera to lukę DNS-rebinding TOCTOU.

WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w przełączniku uwierzytelniania dwuskładnikowego (2FA). Atakujący może wykorzystać ukryty formularz lub żądanie fetch bez poświadczeń, aby wyłączyć 2FA ofiary za pomocą jednego żądania POST.

WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na trwałe cross-site scripting (XSS) we wtyczce Live. Widok w stylu YouTube wyświetla klucz strumienia na żywo w atrybucie klasy HTML przez surowe echo, bez użycia htmlspecialchars(). Użytkownik z uprawnieniami canStream może utrwalić klucz zawierający " i procedurę obsługi zdarzeń przez plugin/Live/saveLive.php, a każdy odwiedzający stronę strumienia wykonuje JavaScript atakującego w kontekście platformy.

WWBN AVideo do wersji 26.0 włącznie pozwala uwierzytelnionemu uploaderowi na obejście walidacji SSRF poprzez kontrolowane wartości downloadURL z rozszerzeniami .mp4, .mp3, .zip, .jpg, .png, .gif, .webm. Serwer pobiera odpowiedź i zapisuje jako treść medialną, umożliwiając eksfiltrację odpowiedzi SSRF.