CVE-2026-84479 in AVideo
Riassunto
di VulDB • 02/09/2026
WWBN AVideo (versioni correnti e01e41ecc e precedenti) fa dipendere tre controlli di sicurezza durante l'accesso esclusivamente dall'intestazione User-Agent fornita dal client. I controlli isAVideoEncoder()/isAVideoMobileApp() confrontano HTTP_USER_AGENT con una stringa letterale hardcoded ("AVideoEncoder"/"AVideoMobileApp") senza alcun controllo dell'IP o utilizzo di un shared secret. Un attaccante che invia credenziali valide e imposta User-Agent: AVideoEncoder elude l'autenticazione a due fattori (2FA), salta la escalation del captcha anti-brute-force ed evita di essere registrato nella cronologia di audit degli accessi/dispositivi. Al momento della pubblicazione non è disponibile alcuna patch.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.