PT-2026-138056
CVE-2026-123486
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
AVideo الإصدارات 29.0 through 29.4.0
Description
توجد حالة سباق (race condition) في الملف
plugin/PayPalYPT/ipn.php. يحدث هذا لأن عملية التحقق من التكرار والإدخال ليست ذرية (non-atomic)، مما يسمح للمهاجمين بتجاوز حماية إعادة تشغيل إشعار الدفع الفوري (IPN). من خلال إعادة إرسال إشعار دفع متكرر صالح تم التقاطه بشكل متزامن، يمكن أن تمر طلبات متعددة عبر دالة isRecurringPaymentIdUsed()، مما يمكن المهاجم من الحصول على تجديدات اشتراك وأرصدة محفظة مكررة.Recommendations
تحديث AVideo إلى إصدار أحدث من 29.4.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾