CVE-2026-40935 in AVideo
Zusammenfassung
von VulDB • 17.05.2026
WWBN AVideo ist eine Open-Source-Videoplattform. In den Versionen 29.0 und älteren Versionen akzeptiert `objects/getCaptcha.php` die CAPTCHA-Länge (`ql`) direkt aus der Query-String ohne Begrenzung (Clamping) oder Sanitisierung, wodurch jeder nicht authentifizierte Client den Server dazu bringen kann, ein CAPTCHA-Wort mit nur 1 Zeichen zu generieren. In Kombination mit einem fallunabhängigen `strcasecmp`-Vergleich über ein Alphabet von ca. 33 Zeichen und der Tatsache, dass fehlgeschlagene Validierungen den gespeicherten Session-Token NICHT verbrauchen, kann ein Angreifer das CAPTCHA auf jedem Endpunkt, der auf `Captcha::validation()` basiert (Benutzerregistrierung, Passwortwiederherstellung, Kontaktformular usw.), mit höchstens ca. 33 Anfragen pro Session trivial brute-forcen. Der Commit bf1c76989e6a9054be4f0eb009d68f0f2464b453 enthält eine Korrektur.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.