CVE-2026-26227
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w VLC dla Android przed wersją 3.7.0 umożliwia pominięcie uwierzytelniania w funkcji zdalnego dostępu z powodu braku ograniczenia szybkości weryfikacji jednorazowego hasła (OTP). Atakujący z dostępem sieciowym może wielokrotnie próbować odgadnąć 4-cyfrowe OTP, aż do uzyskania ważnego ciasteczka sesji użytkownika.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do interfejsu zdalnego dostępu, co może prowadzić do ujawnienia plików multimedialnych udostępnionych przez użytkownika VLC na Androidzie.
Rekomendacja
Zaleca się natychmiastową aktualizację VLC dla Android do wersji 3.7.0 lub nowszej, która zawiera poprawkę ograniczającą liczbę prób weryfikacji OTP.
Oryginalny opis (angielski, źródło NVD)
VideoLAN VLC for Android prior to version 3.7.0 contains an authentication bypass in the Remote Access Server feature due to missing or insufficient rate limiting on one-time password (OTP) verification. The Remote Access Server uses a 4-digit OTP and does not enforce effective throttling or lockout within the OTP validity window, allowing an attacker with network reachability to the server to repeatedly attempt OTP verification until a valid user_session cookie is issued. Successful exploitation results in unauthorized access to the Remote Access interface, limited to media files explicitly shared by the VLC for Android user.