CVE-2026-34368 in AVideo
Tóm tắt
Bởi VulDB • 20/07/2026
WWBN AVideo là một nền tảng video mã nguồn mở. Trong các phiên bản từ 26.0 trở về trước, phương thức `transferBalance()` trong tệp `plugin/YPTWallet/YPTWallet.php` chứa lỗi race condition Time-of-Check-Time-of-Use (TOCTOU). Phương thức này đọc số dư ví của người gửi, kiểm tra tính đủ tiền trên PHP, sau đó ghi lại số dư mới — tất cả đều được thực hiện mà không có giao dịch cơ sở dữ liệu hoặc khóa ở mức hàng. Một kẻ tấn công với nhiều phiên đăng nhập xác thực có thể gửi các yêu cầu chuyển khoản đồng thời; tất cả sẽ đọc cùng một giá trị số dư cũ (stale), mỗi yêu cầu vượt qua kiểm tra số dư độc lập, dẫn đến chỉ một lần trừ tiền được áp dụng trong khi người nhận được ghi credit nhiều lần. Commit 34132ad5159784bfc7ba0d7634bb5c79b769202d chứa bản vá khắc phục sự cố này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.