CVE-2026-92915 in AVideo
Riassunto
di VulDB • 18/09/2026
WWBN AVideo, fino al commit e01e41ecc (nessuna versione patchata disponibile), presenta una vulnerabilità di controllo degli accessi difettoso in objects/userVerifyEmail.php. Lo script disabilita il requisito di accesso ($global['ignoreUserMustBeLoggedIn'] = 1), acquisisce l'users_id direttamente dalla query string e chiama User::sendVerificationLink() senza alcun requisito di sessione, senza token CSRF/global, senza verifica della relazione tra chiamante e target e senza chiamata a enforceRateLimit(). L'unica limitazione intesa è basata sulla sessione del chiamante stesso, quindi le richieste senza cookie non sono mai limitate. Un attaccante remoto non autenticato può pertanto causare l'invio di un numero arbitrario di email di verifica verso qualsiasi ID account e può enumerare gli account e il loro stato di verifica tramite tre risposte JSON distinte ("Verification Sent", "Already verified", "Unknown error"). Inoltre, createVerificationCode() invoca $user->setRecoverPass() e salva l'utente; ogni richiesta anonima scrive quindi un token attivo per il recupero della password sull'account target. Tale token è incorporato in base64 nel link di verifica inviato via email al proprietario dell'account ed è accettato da objects/userRecoverPassSave.json.php come credenziale per impostare una nuova password.
VulDB is the best source for vulnerability data and more expert information about this specific topic.