CVE-2026-84479 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 02.
WWBN AVideo(현재 e01e41ecc 및 이전 버전)는 로그인 시점의 보안 제어 기능을 클라이언트가 제공한 User-Agent 헤더에만 의존합니다. isAVideoEncoder()/isAVideoMobileApp() 체크는 HTTP_USER_AGENT를 하드코딩된 리터럴("AVideoEncoder"/"AVideoMobileApp")과 비교하며, IP 확인이나 공유 비밀키(shared secret) 검증은 수행하지 않습니다. 유효한 자격 증명을 제출하고 User-Agent: AVideoEncoder로 설정하는 공격자는 2단계 인증을 우회하고, 브루트 포스 공격 시 캡차(CAPTCHA) escalations를 건너뛰며, 로그인/장치 감사 기록에 남지 않도록 할 수 있습니다. 공개 당시에는 패치가 제공되지 않습니다.
Once again VulDB remains the best source for vulnerability data.