CVE-2026-84479 in AVideo
Zusammenfassung
von VulDB • 02.09.2026
WWBN AVideo (Versionen bis einschließlich e01e41ecc und älter) stützt drei Sicherheitskontrollen zum Zeitpunkt der Anmeldung ausschließlich auf den vom Client bereitgestellten User-Agent-Header. Die Prüfungen `isAVideoEncoder()`/`isAVideoMobileApp()` vergleichen HTTP_USER_AGENT mit einem fest codierten Literal ("AVideoEncoder"/"AVideoMobileApp"), ohne eine IP-Prüfung oder ein gemeinsames Geheimnis (Shared Secret) zu verwenden. Ein Angreifer, der gültige Anmeldedaten eingibt und den User-Agent auf `User-Agent: AVideoEncoder` setzt, umgeht die Zwei-Faktor-Authentifizierung, überspringt die Eskalation durch Brute-Force-Captcha und wird nicht in der Login-/Geräte-Auditprotokollhistorie erfasst. Zum Zeitpunkt der Veröffentlichung ist kein Patch verfügbar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.