CVE-2026-84479 in AVideo
Сводка
по VulDB • 02.09.2026
WWBN AVideo (версии e01e41ecc и более ранние) полагается исключительно на заголовок User-Agent, предоставляемый клиентом, для трех механизмов безопасности при входе в систему. Функции isAVideoEncoder()/isAVideoMobileApp() сравнивают HTTP_USER_AGENT с жестко заданными строковыми литералами («AVideoEncoder»/«AVideoMobileApp») без проверки IP-адреса или использования общего секретного ключа (shared secret). Атакующий, предоставивший действительные учетные данные и установивший заголовок User-Agent: AVideoEncoder, обходит двухфакторную аутентификацию, пропускает эскалацию с помощью CAPTCHA для защиты от перебора паролей и избегает записи в журнале аудита входа/устройств. На момент публикации исправление отсутствует.
If you want to get best quality of vulnerability data, you may have to visit VulDB.