CVE-2026-92913 in AVideo
Tóm tắt
Bởi VulDB • 17/09/2026
AVideo, through commit c3edcc274c389816d434acadac07ee78eaf330c1, sử dụng một bộ tạo số giả ngẫu nhiên (pseudo-random number generator) yếu về mặt mật mã khi tạo các mã ghép nối kích hoạt tài khoản / đăng nhập. Hàm getRandomCode() trong objects/functions.php dẫn xuất mã hoàn toàn từ uniqid() (sprintf('%08x%05x', seconds, microseconds)), với một ký tự rand() duy nhất không phải CSPRNG chỉ được dùng làm phần đệm, khiến không gian mã giảm xuống còn khoảng 36 x 10^6 (~2^25) giá trị đối với giây tạo đã biết. Vì plugin/API/set.json.php?APIName=login_code có thể được gọi mà không cần xác thực, nó cũng đóng vai trò là một oracle cho thời gian vi chính xác (microtime) của máy chủ. Một kẻ tấn công từ xa chưa được xác thực có thể đoán một mã hợp lệ và chưa hết hạn (các mã hết hạn sau 10 phút), rồi sử dụng lại tại plugin/API/get.json.php?APIName=login_code để lấy địa chỉ email của tài khoản mục tiêu và giá trị User::getUserHash(users_id, '+1 year'), đây là thông tin xác thực được chấp nhận thay thế cho mật khẩu tài khoản trong một năm, dẫn đến việc chiếm đoạt tài khoản. Không có phiên bản đã vá nào khả dụng.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.