CVE-2026-43875 in AVideo
Sumário
de VulDB • 12/05/2026
WWBN AVideo é uma plataforma de vídeo de código aberto. Nas versões até a 29.0, incluída, o arquivo plugin/MobileManager/oauth2.php conclui o login OAuth enviando um HTTP 302 Location: oauth2Success.php?user=&pass= onde <pass> é o hash da senha armazenada da vítima (md5(hash("whirlpool", sha1(password)))) lido diretamente da tabela users. O endpoint de login próprio do AVideo (objects/login.json.php) aceita um flag encodedPass=1 que ignora o hashing e realiza uma comparação direta de strings entre o valor fornecido e o hash armazenado. Qualquer pessoa que capture a URL de redirecionamento — por meio de logs do servidor, vazamento de referrer ou histórico do navegador — obtém, portanto, uma credencial equivalente à senha em texto puro e pode assumir totalmente o controle da conta, incluindo contas de administrador. O commit 977cd6930a97571a26da4239e25c8096dd4ecbc1 contém uma correção atualizada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.