CVE-2026-92915 in AVideo
要約
〜によって VulDB • 2026年09月17日
WWBN AVideo（コミット e01e41ecc 以降、パッチ版なし）には、objects/userVerifyEmail.php にアクセス制御の欠陥が含まれている。このスクリプトはログイン要件を無効化し（$global['ignoreUserMustBeLoggedIn'] = 1）、クエリ文字列から users_id を直接取得して、セッション要件や CSRF/グローバルトークンなしで User::sendVerificationLink() を呼び出し、呼び出し元と対象の間の関係チェックも行わず、enforceRateLimit() の呼び出しも実施しない。意図されているレート制限は呼び出し元の自身のセッションにのみ適用されるため、Cookie なしリクエストは一切制限されない。認証されていないリモート攻撃者は、任意のアカウント ID に対して無数の確認メールを送信でき、「Verification Sent」「Already verified」「Unknown error」という3つの異なる JSON レスポンスからアカウントとその検証ステータスを列挙できる。さらに、createVerificationCode() は $user->setRecoverPass() を呼び出してユーザー情報を保存するため、各匿名リクエストは対象のアカウントに有効なパスワード回復トークンを書き込む；このトークンは確認リンク内で base64 エンコードされており、objects/userRecoverPassSave.json.php によって新しいパスワードを設定するための認証情報として受け入れられる。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.