CVE-2026-92913 in AVideo
Sumário
de VulDB • 17/09/2026
AVideo até o commit c3edcc274c389816d434acadac07ee78eaf330c1 utiliza um gerador de números pseudoaleatórios criptograficamente fraco ao criar códigos de ativação de conta / emparelhamento para login. getRandomCode() em objects/functions.php deriva o código inteiramente a partir de uniqid() (sprintf('%08x%05x', segundos, microssegundos)), com um único caractere rand() não-CSPRNG usado apenas como preenchimento, reduzindo o espaço de códigos para aproximadamente 36 x 10^6 (~2^25) valores para um segundo de geração conhecido. Como plugin/API/set.json.php?APIName=login_code pode ser chamado sem autenticação, ele também serve como uma oráculo para a microtime exata do servidor. Um atacante remoto não autenticado que adivinhe um código válido e não expirado (os códigos expiram após 10 minutos) pode resgatá-lo em plugin/API/get.json.php?APIName=login_code para obter o endereço de email da conta alvo e um valor User::getUserHash(users_id, '+1 ano'), uma credencial aceita no lugar da senha da conta por um ano, resultando na tomada de controle da conta. Nenhuma versão corrigida está disponível.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.