CVE-2026-92915 in AVideo
الملخص
بحسب VulDB • 17/09/2026
يحتوي WWBN AVideo، حتى الإصدار المستند إلى commit e01e41ecc (لا توجد إصدارات مُصلحة متاحة)، على عيب في التحكم بالوصول المكسور (broken access control) موجود في الملف objects/userVerifyEmail.php. يعطل هذا السكربت متطلبات تسجيل الدخول ($global['ignoreUserMustBeLoggedIn'] = 1)، ويأخذ users_id مباشرة من سلسلة الاستعلام (query string)، ويستدعي User::sendVerificationLink() دون اشتراط جلسة عمل، ودون وجود رمز CSRF/عام، وبدون التحقق من العلاقة بين المُستدعِي والهدف، ودون استدعاء enforceRateLimit(). وبما أن آلية الحدّ الوحيدة المقصودة مرتبطة بجلسة العمل الخاصة بالمُستدعي نفسه، فإن الطلبات الخالية من ملفات تعريف الارتباط (cookie-less) لا تخضع لأي تقييد. وبالتالي، يمكن لمهاجم عن بُعد غير مُصادق عليه إرسال عدد كبير بشكل تعسفي من رسائل البريد الإلكتروني للتحقق إلى أي معرّف حساب، ويمكنه أيضاً تعداد الحسابات وحالة التحقق الخاصة بها بناءً على ثلاثة استجابات JSON مميزة ("Verification Sent"، "Already verified"، "Unknown error"). بالإضافة إلى ذلك، يستدعي createVerificationCode() دالة $user->setRecoverPass() ويحفظ بيانات المستخدم، مما يعني أن كل طلب مجهول المصدر يكتب رمز استعادة كلمة مرور نشطاً في الحساب المستهدف؛ وهذا الرمز مُضمّن بشكل مشفر بـ base64 داخل رابط التحقق الذي يُرسل عبر البريد الإلكتروني إلى مالك الحساب، ويتم قبوله بواسطة objects/userRecoverPassSave.json.php كبيانات اعتماد لتعيين كلمة مرور جديدة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.