PT-2026-28622
CVE-2026-34368
·
تاريخ النشر
2026-03-27
·
تاريخ التحديث
2026-03-30
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AVideo حتى الإصدار 26.0 ضمناً
الوصف
AVideo هي منصة فيديو مفتوحة المصدر. تحتوي الطريقة
transferBalance() الموجودة في الملف plugin/YPTWallet/YPTWallet.php على حالة تنافسية من نوع «وقت الفحص - وقت الاستخدام» (TOCTOU). تقوم هذه الطريقة بقراءة رصيد محفظة المرسل، والتحقق من كفاية الأموال باستخدام PHP، ثم كتابة الرصيد الجديد دون استخدام معاملات قاعدة البيانات أو قفل على مستوى الصفوف. يمكن للمهاجم الذي يمتلك عدة جلسات مصادقة أن يرسل طلبات تحويل متزامنة، حيث يقرأ كل منها نفس الرصيد الأولي. تجتاز هذه الطلبات فحص الرصيد بشكل مستقل، مما يؤدي إلى سيناريو يتم فيه خصم الرصيد من حساب المرسل مرة واحدة فقط، بينما يتلقى المستلم الأموال عدة مرات. الوظيفة المعرضة للخطر هي transferBalance().التوصيات
يجب تحديث الإصدارات حتى الإصدار 26.0 (بما في ذلك) إلى إصدار يحتوي على الالتزام (commit) 34132ad5159784bfc7ba0d7634bb5c79b769202d، الذي يعالج هذه المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾