PT-2026-25998
CVE-2026-33041
·
تاريخ النشر
2026-03-17
·
تاريخ التحديث
2026-03-20
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
WWBN AVideo الإصدارات 25.0 وما دونها
الوصف
تُكشف نقطة النهاية /objects/encryptPass.json.php في WWBN AVideo عن خوارزمية تجزئة كلمات المرور الخاصة بالتطبيق لأي مستخدم غير مُصادق عليه. يمكن للمهاجم إرسال كلمات مرور عشوائية والحصول على نظائرها المُجزَّأة، مما يتيح فك تشفير كلمات المرور دون اتصال بالإنترنت باستخدام التجزئات المسربة من قاعدة البيانات. تستخدم الدالة
encryptPassword() سلسلة تجزئة ضعيفة (md5+whirlpool+sha1، بدون ملح بشكل افتراضي)، مما يجعل عملية كسر كلمات المرور سريعة للغاية عند الوصول إلى التجزئات الموجودة في قاعدة البيانات. الملف المعرض للخطر هو objects/encryptPass.json.php، والدالة المعرضة للخطر هي encryptPassword(). توجد الدالة encryptPassword() في ملف objects/functions.php حوالي السطر 2101. والمعلمة المعرضة للخطر هي pass في نقطة نهاية واجهة برمجة التطبيقات (API) /objects/encryptPass.json.php.التوصيات
يجب تحديث الإصدارات 25.0 وما دونها إلى الإصدار 26.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾