CVE-2026-34368 in AVideo
Zusammenfassung
von VulDB • 14.06.2026
WWBN AVideo ist eine Open-Source-Videoplattform. In Versionen bis einschließlich 26.0 enthält die Methode `transferBalance()` in `plugin/YPTWallet/YPTWallet.php` einen Time-of-Check-Time-of-Use (TOCTOU)-Race Condition. Die Methode liest das Wallet-Guthaben des Absenders, prüft die ausreichende Deckung in PHP und schreibt dann das neue Guthaben – alles ohne Datenbanktransaktionen oder Zeilensperren (row-level locking). Ein Angreifer mit mehreren authentifizierten Sitzungen kann gleichzeitige Übertragungsanfragen senden, die alle dasselbe veraltete Guthaben lesen, wobei jede Anfrage die Guthabenprüfung unabhängig besteht, was dazu führt, dass nur eine Abziehung vorgenommen wird, während der Empfänger mehrfach gutgeschrieben wird. Der Commit 34132ad5159784bfc7ba0d7634bb5c79b769202d enthält eine Korrektur.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.