Podatności WWBN AVideo

W WWBN AVideo w wersji 29.0 i wcześniejszych, plik objects/mention.json.php nie ma sprawdzania uwierzytelnienia ani bramy administracyjnej. Posiada jedynie prostą kontrolę wejścia: preg_match('/^@/', $_REQUEST['term']) i zakodowaną na stałe wartość rowCount=10. Umożliwia to nieuwierzytelnionemu atakującemu enumerację użytkowników.

WWBN AVideo w wersji 29.0 i wcześniejszych nie używa parametru wyjściowego $resolvedIP funkcji isSSRFSafeURL() do przypinania DNS przez CURLOPT_RESOLVE w plikach EpgParser.php, plugin/AI/receiveAsync.json.php i innych. Otwiera to lukę DNS-rebinding TOCTOU.

WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w przełączniku uwierzytelniania dwuskładnikowego (2FA). Atakujący może wykorzystać ukryty formularz lub żądanie fetch bez poświadczeń, aby wyłączyć 2FA ofiary za pomocą jednego żądania POST.

WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na trwałe cross-site scripting (XSS) we wtyczce Live. Widok w stylu YouTube wyświetla klucz strumienia na żywo w atrybucie klasy HTML przez surowe echo, bez użycia htmlspecialchars(). Użytkownik z uprawnieniami canStream może utrwalić klucz zawierający " i procedurę obsługi zdarzeń przez plugin/Live/saveLive.php, a każdy odwiedzający stronę strumienia wykonuje JavaScript atakującego w kontekście platformy.

WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.

W WWBN AVideo w wersjach do 29.0 włącznie nieuwierzytelniony endpoint plugin/Scheduler/downloadICS.php przekazuje kontrolowane przez atakującego parametry title, description i joinURL do Scheduler::downloadICS(), który buduje plik kalendarza ICS. ICS::escape_string() escapuje tylko przecinki i średniki i nie neutralizuje CR/LF, więc bajty CRLF w wartości właściwości pozwalają wstrzyknąć dowolne linie ICS, w tym pary END:VEVENT / BEGIN:VEVENT dodające całe zdarzenia kalendarza. Ponieważ złośliwy plik .ics jest serwowany z zaufanego origin AVideo, umożliwia to wiarygodny phishing kalendarzowy.

WWBN AVideo to otwarta platforma wideo. W wersjach do 29.0 włącznie plik objects/sendEmail.json.php udostępnia dwie ścieżki w zależności od tego, czy przesłano contactForm=1. Gdy parametr jest pominięty, endpoint ustawia $sendTo na adres e-mail dostarczony przez atakującego, a dla nieuwierzytelnionych wywołań używa własnego adresu kontaktowego witryny jako From:/Reply-To:. Endpoint jest jawnie wpisany na listę dozwolonych jako "public write action" w objects/functionsSecurity.php (linia 885), więc nie wymaga uwierzytelnienia ani tokenu CSRF. Nieuwierzytelniony atakujący (po rozwiązaniu captchy) może wymusić na infrastrukturze SMTP witryny wysłanie skomponowanych przez siebie wiadomości do dowolnych odbiorców z legalnym adresem nadawcy witryny, przechodząc przez SPF/DKIM/DMARC dla domeny witryny — idealne do ukierunkowanego phishingu i podszywania się pod markę. Commit 4e3709895857a5857f0edb46b0ee984de0d9e1a2 zawiera zaktualizowaną poprawkę.

WWBN AVideo to otwarta platforma wideo. W wersjach do 29.0 włącznie plik plugin/Meet/iframe.php wypisuje kontrolowane przez atakującego parametry zapytania user i pass bez escapowania do literału łańcuchowego w podwójnych cudzysłowach JavaScript wewnątrz bloku <script>. Atakujący, który wyśle ofiarę na spreparowany URL, może wyłamać się z łańcucha i wykonać dowolny JavaScript w przeglądarce ofiary w kontekście originu AVideo. Uwierzytelnienie nie jest wymagane, jeśli w celu istnieje publiczny harmonogram Meet. Commit 3298ced2bcf92e4f3acff6ce9bde14edf42ecb5b zawiera zaktualizowaną poprawkę.

WWBN AVideo w wersjach 29.0 i starszych zawiera obejście poprawki podatności na przechodzenie katalogów w objects/aVideoEncoderReceiveImage.json.php. Poprawka sprawdza tylko ścieżkę URL pod kątem sekwencji '..', podczas gdy funkcja try_get_contents_from_local() używa explode('/videos/', $url) na pełnym ciągu URL z parametrami zapytania, co pozwala umieścić payload /videos/../../ w query stringu i odczytać dowolne pliki z serwera.

WWBN AVideo w wersjach 29.0 i starszych ma wyrażenie regularne isValidDuration() bez zakotwiczenia końca, co pozwala dołączyć dowolny HTML/JavaScript po poprawnym prefiksie czasu trwania. Spreparowany czas trwania jest zapisywany w bazie i renderowany bez escapowania HTML na stronach trending, playlistach i miniaturach galerii, co prowadzi do przechowywanego XSS.

WWBN AVideo w wersjach 29.0 i wcześniejszych zawiera plik `git.json.php`, który wykonuje `git log -1` i zwraca pełny wynik jako JSON każdemu nieuwierzytelnionemu użytkownikowi. Ujawnia to dokładny hash commita (umożliwiając fingerprinting wersji), nazwiska i adresy e-mail deweloperów (PII) oraz komunikaty commitów, które mogą zawierać odniesienia do systemów wewnętrznych lub poprawek bezpieczeństwa. Brak znanych wersji z poprawką.

WWBN AVideo do wersji 26.0 włącznie pozwala uwierzytelnionemu uploaderowi na obejście walidacji SSRF poprzez kontrolowane wartości downloadURL z rozszerzeniami .mp4, .mp3, .zip, .jpg, .png, .gif, .webm. Serwer pobiera odpowiedź i zapisuje jako treść medialną, umożliwiając eksfiltrację odpowiedzi SSRF.

W WWBN AVideo w wersjach 26.0 i wcześniejszych, endpoint plugin/CloneSite/client.log.php udostępnia plik dziennika operacji klonowania bez żadnego uwierzytelnienia. Inne endpointy w katalogu CloneSite wymagają uprawnień administratora. Dziennik zawiera wewnętrzne ścieżki systemu plików, adresy URL zdalnych serwerów i metadane połączeń SSH.

W WWBN AVideo w wersjach 26.0 i wcześniejszych, endpoint plugin/API/check.ffmpeg.json.php bada konfigurację zdalnego serwera FFmpeg i zwraca stan połączenia bez uwierzytelnienia. Inne endpointy zarządzania FFmpeg wymagają uprawnień administratora.

W WWBN AVideo w wersjach 26.0 i wcześniejszych skrypt diagnostyczny install/test.php ma wyłączoną ochronę dostępu CLI poprzez zakomentowanie instrukcji die(). Skrypt pozostaje dostępny przez HTTP po instalacji, ujawniając statystyki widzów, w tym adresy IP, identyfikatory sesji i user-agenty, nieuwierzytelnionym odwiedzającym.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w endpointcie check.php wtyczki BlockonomicsYPT. Endpoint zwraca dane zamówienia płatności dla dowolnego adresu Bitcoin bez wymagania uwierzytelnienia, co pozwala atakującemu na odczyt rekordów płatności dla dowolnego adresu używanego na platformie.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność na Cross-Site Request Forgery (CSRF) w punkcie końcowym konfiguracji skórki odtwarzacza (admin/playerUpdate.json.php), ponieważ nie waliduje tokenów CSRF. Tabela wtyczek jest wyraźnie wykluczona z kontroli bezpieczeństwa opartej na domenie ORM za pomocą ignoreTableSecurityCheck(), co usuwa jedyną inną warstwę obrony. W połączeniu z ciasteczkami SameSite=None, żądanie POST z innego pochodzenia może zmodyfikować wygląd odtwarzacza wideo na całej platformie.

WWBN AVideo to otwarta platforma wideo. W wersjach 26.0 i wcześniejszych, endpoint dostosowywania strony admin/customize_settings_nativeUpdate.json.php nie waliduje tokena CSRF i zapisuje przesłane pliki logo na dysk przed sprawdzeniem bezpieczeństwa ORM. W połączeniu z polityką SameSite=None, atakujący z innej domeny może nadpisać logo platformy.

WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie SocialMediaPublisher, gdzie endpoint publishInstagram.json.php działa jako nieuwierzytelnione proxy do Facebook/Instagram Graph API. Umożliwia to każdemu nieuwierzytelnionemu użytkownikowi wykonywanie dowolnych zapytań do Graph API przez serwer, potencjalnie z użyciem skradzionych tokenów lub nadużywając własnych poświadczeń platformy.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność SSRF w funkcji EPG (Electronic Program Guide). Uwierzytelnieni użytkownicy z uprawnieniami do przesyłania mogą przechowywać dowolne adresy URL, które serwer pobiera przy każdej wizycie na stronie EPG. Walidacja URL jest niewystarczająca, co pozwala na skanowanie sieci wewnętrznych i dostęp do usług wewnętrznych.

WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie User_Location na stronie testIP.php, która odzwierciedla parametr ip bez kodowania wyjściowego, umożliwiając wstrzykiwanie dowolnego HTML i JavaScript. Mimo że strona jest ograniczona do adminów, konfiguracja ciasteczek SameSite=None pozwala na eksploatację międzyoriginową. Brak publicznie dostępnych łat.

WWBN AVideo w wersjach 26.0 i wcześniejszych akceptuje parametr overrideStatus w żądaniu, który pozwala każdemu przesyłającemu ustawić status wideo na dowolny stan, w tym "active" (a). Obejmuje to kontrolowane przez administratora procesy moderacji i wersji roboczych. Metoda setStatus() nie sprawdza, czy wywołujący ma uprawnienia do ustawienia danego statusu.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w pluginie StripeYPT. Punkt końcowy test.php jest dostępny dla każdego zalogowanego użytkownika, a nie tylko administratorów. Z powodu błędu w metodzie retrieveSubscriptions(), która anuluje subskrypcje zamiast je pobierać, każdy uwierzytelniony użytkownik może anulować dowolne subskrypcje Stripe, podając identyfikator subskrypcji.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera lukę w szablonie CreatePlugin dla list.json.php, który nie wymaga uwierzytelnienia ani autoryzacji. Skutkuje to 21 nieuwierzytelnionymi punktami końcowymi ujawniającymi wrażliwe dane, w tym PII użytkowników, logi transakcji płatniczych, adresy IP i nagłówki User-Agent.

WWBN AVideo w wersjach 26.0 i starszych zawiera podatność w endpointcie on_publish_done.php w pluginie Live, który pozwala nieuwierzytelnionym użytkownikom na zakończenie dowolnego aktywnego streamu na żywo. Atakujący może wyliczyć klucze streamów z endpointu stats.json.php, a następnie wysłać spreparowane żądania POST, aby zatrzymać transmisję.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność XSS w pluginie YPTSocket. Funkcja połączeń przychodzących przekazuje nazwę dzwoniącego bezpośrednio jako nagłówek w jQuery Toast Plugin, który jest wstawiany jako surowy HTML. Atakujący może ustawić swoją nazwę wyświetlaną jako ładunek XSS, a po zainicjowaniu połączenia kod wykona się w przeglądarce każdego online użytkownika bez jego interakcji.

WWBN AVideo umożliwia administratorom włączanie/wyłączanie wtyczek przez endpoint objects/pluginSwitch.json.php bez walidacji CSRF i z pominięciem walidacji domeny Referer/Origin. Atakujący może wyłączyć krytyczne wtyczki bezpieczeństwa (np. 2FA) poprzez zwabienie administratora na złośliwą stronę.

WWBN AVideo w wersji 26.0 i wcześniejszych pozwala administratorom wysyłać e-maile HTML do wszystkich użytkowników przez endpoint objects/emailAllUsers.json.php. Brak walidacji tokena CSRF, a ciasteczka sesji mają SameSite=None, co umożliwia atak CSRF z innej domeny.

WWBN AVideo w wersjach 26.0 i wcześniejszych nie koduje wartości konfiguracyjnych wtyczek przed wyświetleniem w panelu administracyjnym. Funkcja jsonToFormElements() w admin/functions.php bezpośrednio interpoluje dane użytkownika do elementów HTML, co pozwala na wstrzyknięcie dowolnego JavaScript.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w punkcie końcowym plugin/YPTWallet/view/users.json.php, który zwraca dane osobowe wszystkich użytkowników oraz salda portfeli każdemu uwierzytelnionemu użytkownikowi. Brakuje sprawdzenia uprawnień administratora.

WWBN AVideo w wersjach do 26.0 włącznie nie waliduje tokena CSRF w punkcie końcowym konfiguracji wtyczek admina (admin/save.json.php). W połączeniu z polityką SameSite=None atakujący może sfałszować żądania POST z innej domeny i nadpisać dowolne ustawienia wtyczek na sesji administratora. Obejście kontroli dostępu na poziomie tabeli umożliwia pełne przejęcie platformy.

WWBN AVideo w wersjach do 26.0 zawiera endpointy API get_api_video_file i get_api_video, które zwracają pełne źródła odtwarzania wideo (bezpośrednie adresy MP4, manifesty HLS) dla wideo chronionych hasłem bez weryfikacji hasła. Nieuwierzytelniony atakujący może uzyskać bezpośrednie adresy odtwarzania dla dowolnego chronionego wideo, wywołując API bezpośrednio.

W WWBN AVideo w wersjach do 26.0 włącznie metoda transferBalance() w plugin/YPTWallet/YPTWallet.php zawiera warunek wyścigu TOCTOU. Metoda odczytuje saldo portfela nadawcy, sprawdza wystarczalność w PHP, a następnie zapisuje nowe saldo bez transakcji bazodanowych i blokad wierszy. Atakujący z wieloma sesjami może wysłać równoczesne żądania przelewu, które odczytają to samo nieaktualne saldo, co prowadzi do wielokrotnego uznania odbiorcy przy tylko jednym obciążeniu nadawcy.

WWBN AVideo to otwarta platforma wideo. W wersjach do 26.0 włącznie funkcja verifyTokenSocket() w pliku plugin/YPTSocket/functions.php ma zakomentowaną walidację limitu czasu tokena, co powoduje, że tokeny WebSocket nigdy nie wygasają, mimo że są generowane z 12-godzinnym limitem. Umożliwia to przechwyconym lub legalnie uzyskanym tokenom stały dostęp do WebSocket, nawet po usunięciu, zbanowaniu lub degradacji konta użytkownika. Tokeny administratora dają dostęp do danych połączeń w czasie rzeczywistym dla wszystkich online użytkowników, w tym adresów IP, informacji o przeglądarce i lokalizacji stron. Poprawka w commicie 5d5237121bf82c24e9e0fdd5bc1699f1157783c5.

WWBN AVideo to otwarta platforma wideo. W wersjach do 26.0 włącznie endpoint plugin/Live/uploadPoster.php pozwala każdemu uwierzytelnionemu użytkownikowi nadpisać obraz plakatu dla dowolnego zaplanowanego transmisji na żywo, podając dowolny live_schedule_id. Endpoint sprawdza tylko User::isLogged(), ale nigdy nie weryfikuje, czy uwierzytelniony użytkownik jest właścicielem docelowego harmonogramu. Po nadpisaniu plakatu endpoint rozgłasza powiadomienie socketLiveOFFCallback zawierające klucz transmisji ofiary i identyfikator użytkownika do wszystkich podłączonych klientów WebSocket. Poprawka w commicie 5fcb3bdf59f26d65e203cfbc8a685356ba300b60.

WWBN AVideo to otwarta platforma wideo. W wersjach do 26.0 włącznie endpoint plugin/PlayLists/View/Playlists_schedules/add.json.php pozwala każdemu uwierzytelnionemu użytkownikowi z uprawnieniami do streamowania tworzyć lub modyfikować harmonogramy transmisji dla dowolnej playlisty w platformie, niezależnie od własności. Gdy harmonogram zostanie wykonany, retransmisja odbywa się pod tożsamością właściciela playlisty ofiary, co umożliwia przejęcie treści i zakłócenie transmisji. Poprawka w commicie 1e6dc20172de986f60641eb4fdb4090f079ffdce.

W WWBN AVideo w wersjach do 26.0 włącznie funkcja isSSRFSafeURL() waliduje adresy URL pod kątem prywatnych/zastrzeżonych zakresów IP przed pobraniem, ale url_get_contents() podąża za przekierowaniami HTTP bez ponownej walidacji celu przekierowania. Atakujący może obejść ochronę SSRF, przekierowując z publicznego adresu URL do celu wewnętrznego.

WWBN AVideo w wersjach do 26.0 zawiera trzy endpointy list.json.php w pluginie Scheduler, które nie mają żadnego sprawdzania uwierzytelnienia, podczas gdy inne endpointy wymagają uprawnień administratora. Nieuwierzytelniony atakujący może pobrać wszystkie zaplanowane zadania, wiadomości e-mail administratora i mapowania użytkowników na adresy e-mail.