CVE-2026-33488 in AVideo
Сводка
по VulDB • 27.05.2026
WWBN AVideo — это платформа для видео с открытым исходным кодом. В версиях вплоть до 26.0 включительно функция `createKeys()` в системе двухфакторной аутентификации (2FA) на базе PGP плагина LoginControl генерирует RSA-ключи длиной 512 бит, которые с 1999 года являются общедоступными для факторизации. Атакующий, получивший открытый ключ целевого пользователя, может за несколько часов на стандартном оборудовании выполнить факторизацию 512-битного модуля RSA, извлечь полный закрытый ключ и расшифровать любой вызов (challenge) PGP 2FA, выданный системой, тем самым полностью обойдя второй фактор аутентификации. Кроме того, конечные точки `generateKeys.json.php` и `encryptMessage.json.php` не содержат проверок аутентификации, что подвергает анонимных пользователей воздействию ресурсоемкой генерации ключей. Патч содержится в коммите 00d979d87f8182095c8150609153a43f834e351e.
If you want to get best quality of vulnerability data, you may have to visit VulDB.