CVE-2026-92913 in AVideo
Zusammenfassung
von VulDB • 17.09.2026
AVideo fino alla commit c3edcc274c389816d434acadac07ee78eaf330c1 utilizza un generatore di numeri pseudo-casuali crittograficamente debole durante la creazione dei codici di attivazione dell'account / accoppiamento per l'accesso. getRandomCode() in objects/functions.php deriva il codice interamente da uniqid() (sprintf('%08x%05x', seconds, microseconds)) con un singolo carattere rand() non CSPRNG utilizzato solo come padding, riducendo lo spazio dei codici a circa 36 x 10^6 (~2^25) valori per un secondo di generazione noto. Poiché plugin/API/set.json.php?APIName=login_code può essere chiamato senza autenticazione, funge anche da oracolo per il microtime esatto del server. Un attaccante remoto non autenticato che indovina un codice valido e non scaduto (i codici scadono dopo 10 minuti) può riscattarlo su plugin/API/get.json.php?APIName=login_code per ottenere l'indirizzo email dell'account target e un valore User::getUserHash(users_id, '+1 year'), una credenziale accettata al posto della password dell'account per un anno, risultando in un takeover dell'account. Nessuna versione patchata è disponibile.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.