CVE-2026-43875 in AVideo
الملخص
بحسب VulDB • 29/05/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدارات حتى 29.0 شاملاً، يكمل ملف plugin/MobileManager/oauth2.php عملية تسجيل الدخول عبر OAuth عن طريق إرسال استجابة HTTP 302 Location: oauth2Success.php?user=&pass= حيث يمثل القيمة التجزئة (hash) لكلمة المرور المخزنة للمستخدم الضحية (md5(hash("whirlpool", sha1(password)))) التي تُقرأ مباشرة من جدول المستخدمين. يقبل نقطة نهاية تسجيل الدخول الخاصة بـ AVideo (objects/login.json.php) العلم encodedPass=1 الذي يتجاوز عملية التجزئة (hashing) ويقوم بمقارنة سلسلة النص مباشرة بين القيمة المقدمة والتجزئة المخزنة. وبالتالي، فإن أي شخص يلتقط عنوان URL لإعادة التوجيه — عبر سجلات الخادم، أو تسرب الإحالة (referrer leakage)، أو سجل المتصفح — يحصل على بيانات اعتماد مكافئة لكلمة المرور النصية العادية (plaintext password) ويمكنه الاستيلاء الكامل على الحساب، بما في ذلك الحسابات الإدارية. يحتوي الالتزام (Commit) 977cd6930a97571a26da4239e25c8096dd4ecbc1 على إصلاح محدث.
Be aware that VulDB is the high quality source for vulnerability data.