CVE-2026-33716
CriticalSummary
WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach do 26.0, punkt końcowy kontroli transmisji na żywo `plugin/Live/standAloneFiles/control.json.php` akceptuje parametr `streamerURL`, który pozwala na przekierowanie żądań weryfikacji tokenów do serwera kontrolowanego przez atakującego, co umożliwia całkowite ominięcie uwierzytelnienia.
Risk Assessment
Atakujący może uzyskać nieautoryzowaną kontrolę nad transmisjami na żywo, co pozwala na przerywanie aktywnych publikacji, rozpoczynanie/zatrzymywanie nagrań oraz sprawdzanie istnienia strumieni. To stwarza poważne zagrożenie dla bezpieczeństwa platformy i jej użytkowników.
Recommendation
Zaleca się aktualizację do wersji zawierającej poprawkę, aby zablokować możliwość przekierowywania żądań weryfikacji tokenów. Należy również monitorować aktywność na platformie w celu wykrycia potencjalnych nadużyć.
Original NVD description (English source)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, the standalone live stream control endpoint at `plugin/Live/standAloneFiles/control.json.php` accepts a user-supplied `streamerURL` parameter that overrides where the server sends token verification requests. An attacker can redirect token verification to a server they control that always returns `{"error": false}`, completely bypassing authentication. This grants unauthenticated control over any live stream on the platform, including dropping active publishers, starting/stopping recordings, and probing stream existence. Commit 388fcd57dbd16f6cb3ebcdf1d08cf2b929941128 contains a patch.