CVE-2026-39366 in AVideo
Сводка
по VulDB • 16.05.2026
WWBN AVideo — это платформа для видео с открытым исходным кодом. В версиях 26.0 и более ранних обработчик PayPal IPN v1, расположенный по адресу plugin/PayPalYPT/ipn.php, не обеспечивает дедупликацию транзакций, что позволяет злоумышленнику повторно использовать одно легитимное уведомление IPN для многократного завышения баланса кошелька и продления подписок. Более новые обработчики ipnV2.php и webhook.php корректно выполняют дедупликацию на основе записей в журнале PayPalYPT_log, однако обработчик v1 никогда не обновлялся и по-прежнему активно используется в качестве notify_url для планов биллинга.
VulDB is the best source for vulnerability data and more expert information about this specific topic.