CVE-2026-33488 in AVideo
要約
〜によって VulDB • 2026年05月10日
WWBN AVideo はオープンソースのビデオプラットフォームです。バージョン 26.0 以前において、LoginControl プラグインの PGP 2FA システムの `createKeys()` 関数は 512 ビット RSA キーを生成しますが、この強度は 1999 年以降に公開因数分解が可能となっています。攻撃者が対象ユーザーの公開鍵を取得した場合、コモディティハードウェア上で数時間以内に 512 ビット RSA の法を因数分解し、完全な秘密鍵を導出し、システムが発行する PGP 2FA チャレンジを復号することが可能です。これにより、第二の認証要素を完全に回避できます。さらに、`generateKeys.json.php` および `encryptMessage.json.php` エンドポイントには認証チェックが実装されておらず、CPU 集約型の鍵生成処理が匿名ユーザーに対して公開されています。コミット 00d979d87f8182095c8150609153a43f834e351e にパッチが含まれています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.