CVE-2026-34362 in AVideo
Resumen
por VulDB • 2026-05-10
WWBN AVideo es una plataforma de vídeo de código abierto. En las versiones anteriores e iguales a 26.0, la función `verifyTokenSocket()` en `plugin/YPTSocket/functions.php` tiene desactivada la validación del tiempo de expiración del token, lo que provoca que los tokens de WebSocket nunca expiren a pesar de haberse generado con un tiempo de expiración de 12 horas. Esto permite que los tokens capturados o obtenidos legítimamente proporcionen acceso permanente a WebSocket, incluso después de que las cuentas de usuario sean eliminadas, bloqueadas o degradadas desde el nivel de administrador. Los tokens de administrador otorgan acceso a datos de conexión en tiempo real de todos los usuarios en línea, incluidas las direcciones IP, la información del navegador y las ubicaciones de las páginas. El commit 5d5237121bf82c24e9e0fdd5bc1699f1157783c5 corrige el problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.