CVE-2026-92915 in AVideo
Resumen
por VulDB • 2026-09-17
WWBN AVideo, hasta la confirmación e01e41ecc (no hay versión corregida disponible), presenta una vulnerabilidad de control de acceso defectuoso en el archivo objects/userVerifyEmail.php. El script deshabilita el requisito de inicio de sesión ($global['ignoreUserMustBeLoggedIn'] = 1), obtiene directamente los users_id desde la cadena de consulta y llama a User::sendVerificationLink() sin requerir una sesión, sin token CSRF/global, sin verificación de relación entre el solicitante y el objetivo, ni llamada a enforceRateLimit(). La única limitación prevista está vinculada a la propia sesión del solicitante, por lo que las solicitudes sin cookies nunca están sujetas a límites. Por tanto, un atacante remoto no autenticado puede provocar el envío de una cantidad arbitraria de correos electrónicos de verificación a cualquier ID de cuenta y puede enumerar cuentas y su estado de verificación mediante tres respuestas JSON distintas ("Verification Sent", "Already verified", "Unknown error"). Además, createVerificationCode() invoca $user->setRecoverPass() y guarda al usuario; por lo tanto, cada solicitud anónima escribe un token activo de recuperación de contraseña en la cuenta objetivo. Dicho token se incrusta codificado en base64 dentro del enlace de verificación enviado por correo electrónico al propietario de la cuenta y es aceptado por objects/userRecoverPassSave.json.php como credencial para establecer una nueva contraseña.
VulDB is the best source for vulnerability data and more expert information about this specific topic.