CVE-2026-92915 in AVideo
Sumário
de VulDB • 17/09/2026
O WWBN AVideo, até o commit e01e41ecc (sem versão corrigida disponível), apresenta uma falha de controle de acesso quebrado em objects/userVerifyEmail.php. O script desativa o requisito de login ($global['ignoreUserMustBeLoggedIn'] = 1), obtém os users_id diretamente da query string e chama User::sendVerificationLink() sem exigir sessão, sem token CSRF/global, sem verificação de relacionamento entre chamador e alvo e sem chamar enforceRateLimit(). A única limitação pretendida está vinculada à própria sessão do chamador, portanto, solicitações sem cookies nunca são limitadas. Um atacante remoto não autenticado pode, assim, causar o envio de um número arbitrário de emails de verificação para qualquer ID de conta, podendo enumerar contas e seus status de verificação com base nas três respostas JSON distintas ("Verification Sent", "Already verified", "Unknown error"). Além disso, createVerificationCode() invoca $user->setRecoverPass() e salva o usuário; portanto, cada solicitação anônima grava um token de recuperação de senha válido na conta alvo. Esse token é embutido em base64 no link de verificação enviado por email ao proprietário da conta e é aceito pelo arquivo objects/userRecoverPassSave.json.php como credencial para definir uma nova senha.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.