CVE-2026-43880
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
WWBN AVideo to otwarta platforma wideo. W wersjach do 29.0 włącznie plik objects/sendEmail.json.php udostępnia dwie ścieżki w zależności od tego, czy przesłano contactForm=1. Gdy parametr jest pominięty, endpoint ustawia $sendTo na adres e-mail dostarczony przez atakującego, a dla nieuwierzytelnionych wywołań używa własnego adresu kontaktowego witryny jako From:/Reply-To:. Endpoint jest jawnie wpisany na listę dozwolonych jako "public write action" w objects/functionsSecurity.php (linia 885), więc nie wymaga uwierzytelnienia ani tokenu CSRF. Nieuwierzytelniony atakujący (po rozwiązaniu captchy) może wymusić na infrastrukturze SMTP witryny wysłanie skomponowanych przez siebie wiadomości do dowolnych odbiorców z legalnym adresem nadawcy witryny, przechodząc przez SPF/DKIM/DMARC dla domeny witryny — idealne do ukierunkowanego phishingu i podszywania się pod markę. Commit 4e3709895857a5857f0edb46b0ee984de0d9e1a2 zawiera zaktualizowaną poprawkę.
Ocena ryzyka
Atakujący może wykorzystać zaufaną infrastrukturę e-mail organizacji do wysyłania wiadomości phishingowych podszywających się pod markę, co może prowadzić do kompromitacji odbiorców i utraty reputacji. Wiadomości przechodzą weryfikację SPF/DKIM/DMARC, co utrudnia ich odfiltrowanie.
Rekomendacja
Zaktualizuj AVideo do wersji zawierającej poprawkę z commita 4e3709895857a5857f0edb46b0ee984de0d9e1a2. Rozważ ograniczenie dostępu do endpointu sendEmail.json.php oraz monitorowanie nietypowych wzorców wysyłki e-mail.
Inne podatności w WWBN AVideo
Zobacz wszystkie- CVE-2026-89243Wysokie
WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność stored XSS w metodzie UserGroups::setGroup_name(), która nie sanityzuje danych wejściowych group_name. Administratorzy z uprawnieniem canAdminUserGroups mogą wstrzyknąć złośliwy HTML i JavaScript, który wykonuje się w przeglądarce innych administratorów odwiedzających interfejs zarządzania użytkownikami.
- CVE-2026-86190Krytyczne
WWBN AVideo zawiera podatność uszkodzonej kontroli dostępu w punktach końcowych videoViewsInfo, która zwraca kompletne rekordy użytkowników, w tym hashe haseł, tokeny odzyskiwania i identyfikatory sesji na żywo, nieuwierzytelnionym wywołującym po podaniu parametru hash. Atakujący mogą wykorzystać ujawniony identyfikator sesji do przejęcia sesji widzów, w tym kont administratorów, oraz uzyskać wrażliwe dane osobowe wszystkich widzów.
- CVE-2026-86189Krytyczne
WWBN AVideo zawiera podatność typu path traversal w pliku notify.ffmpeg.json.php, która pozwala nieuwierzytelnionym atakującym zapisywać pliki w dowolnych lokalizacjach poprzez podanie wybranego przez siebie ścieżki w parametrze avideoRelativePath. Atakujący mogą odtworzyć dowolny wcześniej wydany szyfrogram jako token notifyCode, który jest odszyfrowywany, ale nigdy nie weryfikowany, aby ominąć uwierzytelnianie i zapisywać pliki w katalogu głównym aplikacji i podkatalogach.
- CVE-2026-85154Krytyczne
WWBN AVideo zawiera podatność uwierzytelniania, gdzie poświadczenie video_id_hash jest nie wygasającym, nieodwołalnym tokenem typu bearer, który przyznaje pełny dostęp do sesji administratora na koncie właściciela wideo. Atakujący, którzy zdobędą video_id_hash, mogą go odtwarzać w nieskończoność, aby uwierzytelnić się jako właściciel wideo z pełnymi uprawnieniami, a poświadczenie pozostaje ważne nawet po zmianie hasła przez właściciela.
- CVE-2026-116800Średnie
WWBN AVideo w wersjach przed 29.5.0 zawiera podatność typu local file inclusion, która pozwala nieuwierzytelnionym atakującym dołączyć pliki PHP spoza katalogu locale poprzez spreparowany nagłówek Accept-Language. Atakujący mogą użyć nakładających się sekwencji przejścia, takich jak ....//, aby obejść jednoprzebiegowe usuwanie w setLanguage() i wykonać istniejące pliki PHP po stronie serwera w kontekście aplikacji.
- CVE-2026-116139Średnie
WWBN AVideo w wersjach od 26.0 do 29.3.0 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym komentującym wstrzyknąć JavaScript, ponieważ funkcja markDownToHTML() zachowuje atrybuty obsługi zdarzeń w wiodących blokach HTML. Atakujący może opublikować komentarz zaczynający się od znacznika img z obsługą onerror, co omija sanitizer inline i wykonuje się w przeglądarkach widzów w kontekście aplikacji.
- CVE-2026-114634Średnie
WWBN AVideo w wersjach przed 29.4.0 zawiera podatność typu blind server-side request forgery w funkcji getHeaderContentTypeFromURL(), ponieważ get_headers() podąża za przekierowaniami bez ponownej walidacji celów za pomocą isSSRFSafeURL(). Uwierzytelnieni użytkownicy mogący przesyłać treści mogą zapisać link do wideo wskazujący na przekierowanie, co powoduje wewnętrzne żądania GET podczas przeglądania wideo, umożliwiając skanowanie portów wewnętrznych.
- CVE-2026-114048Niskie
WWBN AVideo przed wersją 24.0 zawiera podatność cross-site request forgery w starszych endpointach, takich jak playlistStatus.php, które omijają sprawdzenie autoCSRFGuard() ograniczone do .json.php. Atakujący mogą zwabić zalogowanych użytkowników na stronę z automatycznie wysyłającym się formularzem, aby upublicznić prywatne playlisty, usunąć filmy z playlisty lub sfałszować sugestie wideo.
- CVE-2026-105089Wysokie
WWBN AVideo do wersji 29.2.0 zawiera podatność stored cross-site scripting, która pozwala użytkownikom z uprawnieniami do przesyłania plików na wstrzyknięcie skryptu poprzez ustawienie złośliwego adresu URL trailera wideo. Wartość jest renderowana bez escapowania w szablonach YouPHPFlix2 i playlistach kanałów, co pozwala atakującym na wyjście poza atrybuty onclick lub src iframe i wykonanie JavaScript w przeglądarkach ofiar.
- CVE-2026-105086Wysokie
WWBN AVideo 12.4 do 29.2.0 zawiera podatność stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom przesyłającym pliki na wstrzyknięcie HTML poprzez wysyłanie podwójnie zakodowanych encji w tytułach wideo. Ponieważ funkcja safeString() usuwa tagi przed dekodowaniem encji i jest uruchamiana dwukrotnie przez setTitle() i save(), atakujący mogą przechowywać znaczniki, które wykonują się na stronach trendów, galerii, osadzania i playlist.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions up to and including 29.0, objects/sendEmail.json.php exposes two branches depending on whether contactForm=1 is submitted. When the parameter is omitted, the endpoint sets $sendTo to an attacker-supplied email and, for unauthenticated callers, uses the site's own contact email as the message From:/Reply-To:. The endpoint is explicitly allow-listed as a "public write action" in objects/functionsSecurity.php (line 885), so it requires no authentication or CSRF token. An unauthenticated attacker (solving a captcha) can force the site's own SMTP infrastructure to send attacker-composed emails to arbitrary recipients with the site's legitimate sender address, passing SPF/DKIM/DMARC for the site's domain — ideal for targeted phishing and brand impersonation. Commit 4e3709895857a5857f0edb46b0ee984de0d9e1a2 contains an updated fix.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS