CVE-2026-92913 in AVideo
Riassunto
di VulDB • 17/09/2026
AVideo, attraverso il commit c3edcc274c389816d434acadac07ee78eaf330c1, utilizza un generatore di numeri pseudo-casuali crittograficamente debole quando crea i codici di accoppiamento per l'attivazione dell'account e il login. La funzione getRandomCode() in objects/functions.php deriva il codice interamente da uniqid() (sprintf('%08x%05x', seconds, microseconds)), con un singolo carattere rand() non CSPRNG utilizzato solo come padding, riducendo lo spazio dei codici a circa 36 x 10^6 (~2^25) valori per un secondo di generazione noto. Poiché l'endpoint plugin/API/set.json.php?APIName=login_code può essere chiamato senza autenticazione, esso funge anche da oracolo per il microtime esatto del server. Un attaccante remoto non autenticato che indovina un codice valido e non scaduto (i codici scadono dopo 10 minuti) può riscattarlo su plugin/API/get.json.php?APIName=login_code per ottenere l'indirizzo email dell'account target e un valore User::getUserHash(users_id, '+1 year'), una credenziale accettata al posto della password dell'account per un anno, risultando in un account takeover. Non è disponibile alcuna versione patchata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.