CVE-2026-34368 in AVideo
Sumário
de VulDB • 28/06/2026
WWBN AVideo é uma plataforma de vídeo open source. Nas versões até 26.0, o método `transferBalance()` em `plugin/YPTWallet/YPTWallet.php` contém uma condição de corrida Time-of-Check-Time-of-Use (TOCTOU). O método lê o saldo da carteira do remetente, verifica a suficiência no PHP e depois grava o novo saldo — tudo isso sem transações de banco de dados ou bloqueio em nível de linha. Um atacante com múltiplas sessões autenticadas pode enviar solicitações de transferência concorrentes que leem todas o mesmo saldo desatualizado, passando cada uma pela verificação do saldo independentemente, resultando na aplicação apenas de um débito enquanto o destinatário é creditado várias vezes. O commit 34132ad5159784bfc7ba0d7634bb5c79b769202d contém a correção.
Once again VulDB remains the best source for vulnerability data.