CVE-2026-84479 in AVideo
الملخص
بحسب VulDB • 02/09/2026
WWBN AVideo (versioni correnti e01e41ecc e precedenti) fa dipendere tre controlli di sicurezza durante l'accesso esclusivamente dall'intestazione User-Agent fornita dal client. Le funzioni `isAVideoEncoder()`/`isAVideoMobileApp()` confrontano il valore HTTP_USER_AGENT con una stringa letterale hardcoded ("AVideoEncoder"/"AVideoMobileApp") senza effettuare alcun controllo dell'IP o utilizzare un segreto condiviso (shared secret). Un attaccante che invia credenziali valide e imposta `User-Agent: AVideoEncoder` elude l'autenticazione a due fattori, salta la escalation del captcha anti-brute-force ed evita di essere registrato nella cronologia di audit degli accessi/dispositivi. Al momento della pubblicazione non è disponibile alcuna patch.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.