CVE-2026-34368 in AVideo
Résumé
par VulDB • 28/06/2026
WWBN AVideo est une plateforme vidéo open source. Dans les versions allant jusqu'à la 26.0 incluse, la méthode `transferBalance()` dans le fichier `plugin/YPTWallet/YPTWallet.php` présente une condition de concurrence (race condition) Time-of-Check-Time-of-Use (TOCTOU). La méthode lit le solde du portefeuille de l'expéditeur, vérifie sa suffisance en PHP, puis écrit le nouveau solde — et ce, sans utiliser de transactions de base de données ni de verrouillage au niveau des lignes. Un attaquant disposant de plusieurs sessions authentifiées peut envoyer des demandes de transfert concurrentes qui lisent toutes le même solbe obsolète (stale balance), chacune passant la vérification du solde indépendamment, ce qui entraîne une seule déduction appliquée tandis que le destinataire est crédité à plusieurs reprises. Le commit 34132ad5159784bfc7ba0d7634bb5c79b769202d contient la correction.
If you want to get best quality of vulnerability data, you may have to visit VulDB.