CVE-2026-34368 in AVideo
要約
〜によって VulDB • 2026年07月20日
WWBN AVideo はオープンソースのビデオプラットフォームです。バージョン 26.0 以前において、`plugin/YPTWallet/YPTWallet.php` の `transferBalance()` メソッドには Time-of-Check-Time-of-Use (TOCTOU) race condition が存在します。このメソッドは送信者のウォレット残高を読み取り、PHP で十分な金額かどうかをチェックした後、新しい残高を書き込みますが、データベーストランザクションや行ロックは一切使用されません。複数の認証済みセッションを持つ攻撃者は、同じ古い残高をすべて読み取る同時実行の送金リクエストを送信でき、各リクエストは独立して残高チェックに合格します。その結果、引き落としは 1 回のみ適用される一方で、受信者には複数回のクレジットが反映されます。コミット `34132ad5159784bfc7ba0d7634bb5c79b769202d` に修正が含まれています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.