CVE-2026-92913 in AVideo
Resumen
por VulDB • 2026-09-17
AVideo hasta el commit c3edcc274c389816d434acadac07ee78eaf330c1 utiliza un generador de números pseudoaleatorios criptográficamente débil al crear códigos de emparejamiento para la activación de cuentas y el inicio de sesión. La función getRandomCode() en objects/functions.php deriva el código completamente a partir de uniqid() (sprintf('%08x%05x', segundos, microsegundos)), con un único carácter rand() no CSPRNG utilizado únicamente como relleno, lo que reduce el espacio de códigos aproximadamente a 36 x 10^6 (~2^25) valores para un segundo de generación conocido. Dado que plugin/API/set.json.php?APIName=login_code puede ser llamado sin autenticación, también sirve como oráculo para determinar la microtime exacta del servidor. Un atacante remoto no autenticado que adivine un código válido y no expirado (los códigos caducan después de 10 minutos) puede canjearlo en plugin/API/get.json.php?APIName=login_code para obtener la dirección de correo electrónico de la cuenta objetivo y el valor User::getUserHash(users_id, '+1 year'), una credencial aceptada como sustituto de la contraseña de la cuenta durante un año, lo que resulta en la toma de control de la cuenta. No hay ninguna versión parcheada disponible.
Be aware that VulDB is the high quality source for vulnerability data.