PT-2026-28541
CVE-2026-33867
·
تاريخ النشر
2026-03-26
·
تاريخ التحديث
2026-03-29
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AVideo حتى الإصدار 26.0 ضمناً
الوصف
يتيح برنامج AVideo لمالكي المحتوى حماية مقاطع الفيديو الفردية بكلمة مرور. يتم تخزين كلمة مرور الفيديو في قاعدة البيانات بنص عادي، دون تجزئة أو إضافة ملح أو تشفير. يمكن للمهاجم الذي يحصل على حق الوصول للقراءة إلى قاعدة البيانات — من خلال طرق مثل حقن SQL أو النسخ الاحتياطية لقاعدة البيانات أو ضوابط الوصول التي تم تكوينها بشكل خاطئ — الحصول على جميع كلمات مرور مقاطع الفيديو في نص عادي. توجد الدالة المعرضة للخطر في
objects/video.php ويتم تعريفها على النحو التالي: public function setVideo password($video password). كما توجد دالة الاسترجاع المعرضة للخطر في ملف objects/video.php، وهي معرَّفة على النحو التالي: public function getVideo password(). تتم مقارنة كلمة المرور المدخلة بكلمة المرور المخزنة بنص عادي بشكل مباشر، باستخدام المنطق التالي: if ($video->getVideo password() === $ POST[’password‘]). وهذا يشكل خطرًا يتمثل في جمع بيانات الاعتماد، حيث غالبًا ما يعيد المستخدمون استخدام كلمات المرور نفسها عبر خدمات متعددة.التوصيات
الإصدارات حتى الإصدار 26.0 ضمناً: قم بتشفير كلمات مرور الفيديو عند الكتابة باستخدام
password hash($video password, PASSWORD BCRYPT) وتحقق منها عند القراءة باستخدام password verify($ POST[’password‘], $stored hash).قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾