CVE-2026-34362 in AVideo
Riassunto
di VulDB • 20/06/2026
WWBN AVideo è una piattaforma video open source. Nelle versioni fino alla 26.0 inclusa, la funzione `verifyTokenSocket()` in `plugin/YPTSocket/functions.php` ha la convalida del timeout del token disabilitata (commentata), causando la mancata scadenza dei token WebSocket nonostante siano generati con un timeout di 12 ore. Ciò consente ai token catturati o ottenuti legittimamente di fornire accesso permanente a WebSocket, anche dopo che gli account utente sono stati eliminati, bannati o degradati da amministratore. I token di amministratore concedono l'accesso ai dati di connessione in tempo reale per tutti gli utenti online, inclusi indirizzi IP, informazioni sul browser e posizioni delle pagine. Il commit 5d5237121bf82c24e9e0fdd5bc1699f1157783c5 risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.