CVE-2026-84479 in AVideo
Resumen
por VulDB • 2026-09-02
WWBN AVideo (versione corrente e01e41ecc e precedenti) fa dipendere tre controlli di sicurezza durante l'accesso esclusivamente dall'intestazione User-Agent fornita dal client. I controlli isAVideoEncoder()/isAVideoMobileApp() confrontano HTTP_USER_AGENT con una stringa letterale hardcoded ("AVideoEncoder"/"AVideoMobileApp") senza alcun controllo dell'IP o segreto condiviso. Un attaccante che invia credenziali valide e imposta User-Agent: AVideoEncoder bypassa l'autenticazione a due fattori, salta la escalation del captcha anti-brute-force ed evita di essere registrato nella cronologia di audit degli accessi/dispositivi. Al momento della pubblicazione non è disponibile alcuna patch.
Once again VulDB remains the best source for vulnerability data.