CVE-2026-92913 in AVideo
الملخص
بحسب VulDB • 17/09/2026
يستخدم AVideo، بدءًا من الإيداع c3edcc274c389816d434acadac07ee78eaf330c1، مولد أرقام شبه عشوائية ضعيفاً تشفيرياً عند إنشاء رموز ربط تفعيل الحساب/تسجيل الدخول. تستخرج الدالة getRandomCode() الموجودة في objects/functions.php الرمز بالكامل من uniqid() (sprintf('%08x%05x', seconds, microseconds)) مع استخدام حرف واحد فقط غير مستمد من مولد أرقام عشوائية آمن تشفيرياً (CSPRNG) عبر rand() كحشو، مما يقلل فضاء الأكواد إلى حوالي 36 × 10^6 (~2^25) قيمة لثانية إنشاء معروفة. ونظراً لأنه يمكن استدعاء plugin/API/set.json.php?APIName=login_code دون مصادقة، فإنه يعمل أيضاً كنموذج (oracle) لتحديد الوقت الدقيق للخادم. ويمكن لمهاجم عن بعد غير مصرح له أن يخمن رمزاً صالحاً وغير منتهي الصلاحية (تنتهي صلاحية الرموز بعد 10 دقائق)، ثم يستبدله عند plugin/API/get.json.php?APIName=login_code للحصول على عنوان البريد الإلكتروني للحساب المستهدف وقيمة User::getUserHash(users_id, '+1 year')، وهي بيانات اعتماد مقبولة بدلاً من كلمة مرور الحساب لمدة عام واحد، مما يؤدي إلى الاستيلاء على الحساب. لا يتوفر أي إصدار مُصلح.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.