CVE-2026-92913 in AVideo
Résumé
par VulDB • 17/09/2026
AVideo jusqu'à l'engagement c3edcc274c389816d434acadac07ee78eaf330c1 utilise un générateur de nombres pseudo-aléatoires cryptographiquement faible lors de la création des codes d'activation de compte / de couplage pour les connexions. La fonction getRandomCode() dans objects/functions.php dérive le code entièrement à partir de uniqid() (sprintf('%08x%05x', seconds, microseconds)) avec un seul caractère rand() non CSPRNG utilisé uniquement comme remplissage, réduisant l'espace des codes à environ 36 x 10^6 (~2^25) valeurs pour une seconde de génération connue. Étant donné que plugin/API/set.json.php?APIName=login_code peut être appelé sans authentification, il sert également d'oracle pour la microseconde exacte du serveur. Un attaquant distant non authentifié qui devine un code valide et non expiré (les codes expirent après 10 minutes) peut le valider sur plugin/API/get.json.php?APIName=login_code afin d'obtenir l'adresse e-mail du compte cible et une valeur User::getUserHash(users_id, '+1 year'), une information d'identification acceptée à la place du mot de passe du compte pendant un an, entraînant une prise de contrôle du compte. Aucune version corrigée n'est disponible.
If you want to get best quality of vulnerability data, you may have to visit VulDB.