Podatności WWBN AVideo

W WWBN AVideo w wersjach 26.0 i wcześniejszych, endpoint plugin/CloneSite/client.log.php udostępnia plik dziennika operacji klonowania bez żadnego uwierzytelnienia. Inne endpointy w katalogu CloneSite wymagają uprawnień administratora. Dziennik zawiera wewnętrzne ścieżki systemu plików, adresy URL zdalnych serwerów i metadane połączeń SSH.

W WWBN AVideo w wersjach 26.0 i wcześniejszych, endpoint plugin/API/check.ffmpeg.json.php bada konfigurację zdalnego serwera FFmpeg i zwraca stan połączenia bez uwierzytelnienia. Inne endpointy zarządzania FFmpeg wymagają uprawnień administratora.

W WWBN AVideo w wersjach 26.0 i wcześniejszych skrypt diagnostyczny install/test.php ma wyłączoną ochronę dostępu CLI poprzez zakomentowanie instrukcji die(). Skrypt pozostaje dostępny przez HTTP po instalacji, ujawniając statystyki widzów, w tym adresy IP, identyfikatory sesji i user-agenty, nieuwierzytelnionym odwiedzającym.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w endpointcie check.php wtyczki BlockonomicsYPT. Endpoint zwraca dane zamówienia płatności dla dowolnego adresu Bitcoin bez wymagania uwierzytelnienia, co pozwala atakującemu na odczyt rekordów płatności dla dowolnego adresu używanego na platformie.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność na Cross-Site Request Forgery (CSRF) w punkcie końcowym konfiguracji skórki odtwarzacza (admin/playerUpdate.json.php), ponieważ nie waliduje tokenów CSRF. Tabela wtyczek jest wyraźnie wykluczona z kontroli bezpieczeństwa opartej na domenie ORM za pomocą ignoreTableSecurityCheck(), co usuwa jedyną inną warstwę obrony. W połączeniu z ciasteczkami SameSite=None, żądanie POST z innego pochodzenia może zmodyfikować wygląd odtwarzacza wideo na całej platformie.

WWBN AVideo to otwarta platforma wideo. W wersjach 26.0 i wcześniejszych, endpoint dostosowywania strony admin/customize_settings_nativeUpdate.json.php nie waliduje tokena CSRF i zapisuje przesłane pliki logo na dysk przed sprawdzeniem bezpieczeństwa ORM. W połączeniu z polityką SameSite=None, atakujący z innej domeny może nadpisać logo platformy.

WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie SocialMediaPublisher, gdzie endpoint publishInstagram.json.php działa jako nieuwierzytelnione proxy do Facebook/Instagram Graph API. Umożliwia to każdemu nieuwierzytelnionemu użytkownikowi wykonywanie dowolnych zapytań do Graph API przez serwer, potencjalnie z użyciem skradzionych tokenów lub nadużywając własnych poświadczeń platformy.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność SSRF w funkcji EPG (Electronic Program Guide). Uwierzytelnieni użytkownicy z uprawnieniami do przesyłania mogą przechowywać dowolne adresy URL, które serwer pobiera przy każdej wizycie na stronie EPG. Walidacja URL jest niewystarczająca, co pozwala na skanowanie sieci wewnętrznych i dostęp do usług wewnętrznych.

WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie User_Location na stronie testIP.php, która odzwierciedla parametr ip bez kodowania wyjściowego, umożliwiając wstrzykiwanie dowolnego HTML i JavaScript. Mimo że strona jest ograniczona do adminów, konfiguracja ciasteczek SameSite=None pozwala na eksploatację międzyoriginową. Brak publicznie dostępnych łat.

WWBN AVideo w wersjach 26.0 i wcześniejszych akceptuje parametr overrideStatus w żądaniu, który pozwala każdemu przesyłającemu ustawić status wideo na dowolny stan, w tym "active" (a). Obejmuje to kontrolowane przez administratora procesy moderacji i wersji roboczych. Metoda setStatus() nie sprawdza, czy wywołujący ma uprawnienia do ustawienia danego statusu.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w pluginie StripeYPT. Punkt końcowy test.php jest dostępny dla każdego zalogowanego użytkownika, a nie tylko administratorów. Z powodu błędu w metodzie retrieveSubscriptions(), która anuluje subskrypcje zamiast je pobierać, każdy uwierzytelniony użytkownik może anulować dowolne subskrypcje Stripe, podając identyfikator subskrypcji.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera lukę w szablonie CreatePlugin dla list.json.php, który nie wymaga uwierzytelnienia ani autoryzacji. Skutkuje to 21 nieuwierzytelnionymi punktami końcowymi ujawniającymi wrażliwe dane, w tym PII użytkowników, logi transakcji płatniczych, adresy IP i nagłówki User-Agent.

WWBN AVideo w wersjach 26.0 i starszych zawiera podatność w endpointcie on_publish_done.php w pluginie Live, który pozwala nieuwierzytelnionym użytkownikom na zakończenie dowolnego aktywnego streamu na żywo. Atakujący może wyliczyć klucze streamów z endpointu stats.json.php, a następnie wysłać spreparowane żądania POST, aby zatrzymać transmisję.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność XSS w pluginie YPTSocket. Funkcja połączeń przychodzących przekazuje nazwę dzwoniącego bezpośrednio jako nagłówek w jQuery Toast Plugin, który jest wstawiany jako surowy HTML. Atakujący może ustawić swoją nazwę wyświetlaną jako ładunek XSS, a po zainicjowaniu połączenia kod wykona się w przeglądarce każdego online użytkownika bez jego interakcji.

WWBN AVideo umożliwia administratorom włączanie/wyłączanie wtyczek przez endpoint objects/pluginSwitch.json.php bez walidacji CSRF i z pominięciem walidacji domeny Referer/Origin. Atakujący może wyłączyć krytyczne wtyczki bezpieczeństwa (np. 2FA) poprzez zwabienie administratora na złośliwą stronę.

WWBN AVideo w wersji 26.0 i wcześniejszych pozwala administratorom wysyłać e-maile HTML do wszystkich użytkowników przez endpoint objects/emailAllUsers.json.php. Brak walidacji tokena CSRF, a ciasteczka sesji mają SameSite=None, co umożliwia atak CSRF z innej domeny.

WWBN AVideo w wersjach 26.0 i wcześniejszych nie koduje wartości konfiguracyjnych wtyczek przed wyświetleniem w panelu administracyjnym. Funkcja jsonToFormElements() w admin/functions.php bezpośrednio interpoluje dane użytkownika do elementów HTML, co pozwala na wstrzyknięcie dowolnego JavaScript.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w punkcie końcowym plugin/YPTWallet/view/users.json.php, który zwraca dane osobowe wszystkich użytkowników oraz salda portfeli każdemu uwierzytelnionemu użytkownikowi. Brakuje sprawdzenia uprawnień administratora.

WWBN AVideo w wersjach do 26.0 włącznie nie waliduje tokena CSRF w punkcie końcowym konfiguracji wtyczek admina (admin/save.json.php). W połączeniu z polityką SameSite=None atakujący może sfałszować żądania POST z innej domeny i nadpisać dowolne ustawienia wtyczek na sesji administratora. Obejście kontroli dostępu na poziomie tabeli umożliwia pełne przejęcie platformy.