CVE-2026-34362 in AVideo
Tóm tắt
Bởi VulDB • 10/05/2026
WWBN AVideo là một nền tảng video mã nguồn mở. Trong các phiên bản từ 26.0 trở về trước, hàm `verifyTokenSocket()` trong `plugin/YPTSocket/functions.php` có phần xác thực hết hạn token bị comment ra, khiến các token WebSocket không bao giờ hết hạn mặc dù được tạo với thời gian hết hạn là 12 giờ. Điều này cho phép các token bị đánh cắp hoặc có được hợp pháp cung cấp quyền truy cập WebSocket vĩnh viễn, ngay cả sau khi tài khoản người dùng bị xóa, cấm hoặc tước quyền quản trị. Token quản trị cấp quyền truy cập vào dữ liệu kết nối theo thời gian thực cho tất cả người dùng trực tuyến, bao gồm địa chỉ IP, thông tin trình duyệt và vị trí trang web. Commit 5d5237121bf82c24e9e0fdd5bc1699f1157783c5 đã khắc phục sự cố này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.