Rajivraj

WWBN AVideo through commit e01e41ecc (no patched version available) exposes get api preauthorize in plugin/API/API.php as a second, undocumented login path. Unlike get api signIn, which enforces a rate limit of 10 attempts per 5 minutes via checkRateLimit(), get api preauthorize performs the same credential check with no throttling for any client, allowing unlimited remote password guessing against arbitrary accounts, including admin. The endpoint also acts as a credential oracle: it returns the message "Invalid credentials" for both correct and incorrect passwords, while the users id field in the response body discloses the authenticated identity (users id:1 on success, users id:0 on failure), and a correct password establishes a session cookie that remains usable for authenticated API requests. Together these issues permit unauthenticated brute-force account takeover.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Descrição** A API falha ao aplicar limites de taxa (rate limits) quando os clientes utilizam um cabeçalho User-Agent de bot. Isso permite que atacantes ignorem oito operações protegidas, incluindo a proteção contra força bruta de login, enviando requisições com um User-Agent de bot para desativar a limitação de taxa. Consequentemente, um atacante pode realizar tentativas ilimitadas de adivinhação de senha contra qualquer conta a partir de um único endereço IP. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Descrição** O AVideo gera senhas para contas de login externo usando a função `rand()` em vez de um gerador criptográfico seguro, limitando a saída a inteiros de 31 bits. Além disso, o software utiliza hashing baseado em MD5 sem salt para essas senhas. Essa combinação permite que invasores que obtenham os hashes das senhas recuperem as senhas em texto simples rapidamente por meio de ataques de força bruta offline. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Description** Um controle de acesso quebrado no endpoint 'videoViewsInfo' permite que chamadores não autenticados recuperem registros completos de usuários quando um parâmetro `hash` é fornecido. Os dados expostos incluem hashes de senha, tokens de recuperação e identificadores de sessão ativa. Isso pode levar ao sequestro de sessões de visualizadores, incluindo contas de administrador, e à aquisição não autorizada de dados pessoais sensíveis de todos os visualizadores de vídeo. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Description** Um problema de path traversal existe no endpoint 'notify.ffmpeg.json.php'. Atacantes não autenticados podem gravar arquivos em locais arbitrários dentro da raiz do aplicativo e subdiretórios ao fornecer um caminho personalizado através do parâmetro `avideoRelativePath`. Isso é possível porque o sistema permite a repetição de texto cifrado emitido anteriormente como um token `notifyCode`, que é descriptografado mas não validado, ignorando efetivamente a autenticação. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Description** Quando o plugin YPTSocket está habilitado, existe um problema de cross-site scripting através do mecanismo de callback do websocket. Atacantes não autenticados podem executar JavaScript arbitrário nos navegadores de outros usuários enviando mensagens de socket manipuladas. Isso ocorre quando os nomes de callback resolvem para funções globais, como `avideoConfirmHTML()`, que aceitam dados não confiáveis e os atribuem ao `innerHTML`, permitindo a execução de scripts na origem da vítima sem autenticação ou interação do usuário. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Description** Existe uma falha de controle de acesso no endpoint não autenticado 'feed/index.php'. Quando o parâmetro `program id` é fornecido, as verificações de visibilidade por vídeo são desativadas. Isso permite que atacantes enumerem identificadores de playlist e recuperem vídeos não listados ou restritos a grupos ao solicitar o feed RSS com qualquer ID de playlist visível, incluindo playlists vazias que podem retornar todo o catálogo de vídeos ocultos do site. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WWBN AVideo versões anteriores a 29.0 **Description** Existe uma falha de autenticação onde o `video id hash` atua como um token de portador (bearer token) não expirável e não revogável. Um token de portador é um token de segurança que concede acesso a quem o possuir. Esta falha permite que um invasor que obtenha um `video id hash` o utilize repetidamente de forma indefinida para se autenticar como o proprietário do vídeo, obtendo acesso total à sessão e privilégios de administrador. Como o token não é revogável, ele permanece válido mesmo após o proprietário da conta alterar sua senha. **Recommendations** Atualize o WWBN AVideo para uma versão posterior a 29.0. Revise os logs de web e de acesso em busca de sessões autenticadas inesperadas. Rotacione as credenciais afetadas onde for suportado.

**Nome do Software Vulnerável e Versões Afetadas** WWBN AVideo (versões afetadas não especificadas) **Description** Existe um problema no endpoint 'get.json.php' quando o `APIName` é definido como 'channels'. Atacantes não autenticados podem manipular o parâmetro `sort column` para realizar uma injeção de SQL. Isso permite a ordenação de resultados por colunas arbitrárias do banco de dados, como `users.password` e `users.recoverPass`. Ao utilizar este oráculo de ordenação, atacantes podem inferir valores de hash de senha e tokens de recuperação. Além disso, isso pode disparar erros de SQL que revelam a instrução de consulta completa e o esquema do banco de dados. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Descrição** A validação inadequada dos controles de acesso na página do canal público permite que visitantes não autenticados visualizem vídeos não listados e restritos a grupos. Isso ocorre por meio do uso de sinalizadores de visibilidade codificados e uma propriedade indefinida. Atacantes podem acessar o endpoint do canal para recuperar conteúdo sensível, como URLs completas de vídeos não listados e miniaturas de conteúdo exclusivo para membros, ignorando a configuração `hidePrivateVideos`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WWBN AVideo versões e01e41ecc e anteriores **Descrição** Três controles de segurança durante o processo de login dependem exclusivamente do cabeçalho `User-Agent` fornecido pelo cliente. As funções `isAVideoEncoder()` e `isAVideoMobileApp()` comparam o `HTTP USER AGENT` com literais codificados ("AVideoEncoder" ou "AVideoMobileApp") sem verificar o endereço IP ou utilizar um segredo compartilhado. Um invasor com credenciais válidas pode definir o `User-Agent` como "AVideoEncoder" para ignorar a autenticação de dois fatores, pular a escalada de captcha contra força bruta e evitar ser registrado no histórico de auditoria de login e dispositivos. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Descrição** Um problema de cross-site request forgery (CSRF) existe no endpoint 'plugin/API/set.json.php'. Esta falha permite que atacantes executem ações de alteração de estado através da criação de requisições GET que ignoram a proteção CSRF, que é um mecanismo de segurança projetado para evitar que comandos não autorizados sejam transmitidos a partir de um usuário em quem a aplicação web confia. Ao direcionar o navegador de uma vítima para uma URL maliciosa, um atacante pode excluir vídeos, desativar contas ou modificar playlists sem a interação do usuário. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Description** Uma falha de autenticação ausente existe no arquivo `plugin/Live/on publish.php`. Atacantes não autenticados podem marcar transmissões agendadas arbitrárias como falhas ao enviar requisições POST manipuladas para o endpoint de callback RTMP desprotegido. Ao fornecer chaves de transmissão fabricadas seguindo o padrão `-ps-<N>`, um atacante pode modificar os campos de status de transmissões agendadas e cancelar silenciosamente transmissões ao vivo sem a necessidade de credenciais ou autorização. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Descrição** O AVideo falha ao validar proxies confiáveis antes de aceitar os cabeçalhos X-Real-IP e X-Forwarded-For. Isso permite que atacantes falsifiquem o endereço do cliente usado pela função `enforceRateLimit()`. Ao rotacionar os valores dos cabeçalhos em cada requisição, um atacante pode ignorar a limitação de taxa de login para realizar ataques ilimitados de adivinhação de credenciais. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AVideo (versões afetadas não especificadas) **Descrição** As funções `setTitle()` e `setDescription()` em `Live schedule` armazenam entradas POST sem a devida sanitização. Isso permite que usuários com permissões de streaming injetem scripts maliciosos. Além disso, invasores não autenticados podem acessar o endpoint 'remindMe.php' para executar payloads de Cross-Site Scripting (XSS) armazenado—uma técnica onde scripts maliciosos são permanentemente armazenados no servidor alvo—nos navegadores das vítimas sem a necessidade de autenticação. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WWBN AVideo (versões afetadas não especificadas) **Description** Um problema de path traversal existe no endpoint de API 'get api login code'. Atacantes não autenticados podem excluir arquivos .log arbitrários ao fornecer sequências de travessia de diretório no parâmetro `code`. Isso permite a destruição de logs de auditoria e a capacidade de sondar a existência de arquivos no servidor, resultando em exclusão de arquivos e divulgação de informações sobre o sistema de arquivos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro `code` no endpoint de API 'get api login code' até que o problema seja resolvido.

**Nome do Software Vulnerável e Versões Afetadas** WWBN AVideo (versões afetadas não especificadas) **Descrição** Ocorre uma validação insuficiente da expiração do token de recuperação de senha no endpoint 'userRecoverPassSave.json.php'. Isso permite que um invasor que obteve um token de recuperação o utilize indefinidamente para redefinir a senha de uma conta alvo e obter acesso total à conta. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WWBN AVideo (versões afetadas não especificadas) **Descrição** Um problema de submissão de credenciais não autenticadas existe no endpoint 'plugin/Live/api/preauthorize.json.php'. O sistema aceita credenciais via método GET sem implementar a limitação de taxa (rate limiting), que é um mecanismo utilizado para controlar a frequência de requisições a um servidor. Isso permite que atacantes submetam credenciais repetidamente para realizar ataques sustentados de adivinhação de senha ou disparar um número ilimitado de e-mails de confirmação de dois fatores. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WWBN AVideo (versões afetadas não especificadas) **Description** Existe um problema na função `isSSRFSafeURL()` que falha ao normalizar endereços NAT64 escritos em formato hexadecimal. Isso permite que atacantes ignorem as proteções de server-side request forgery (SSRF) utilizando endereços NAT64 codificados em hexadecimal para acessar interfaces de loopback e serviços de metadados de nuvem. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WWBN AVideo (versões afetadas não especificadas) **Descrição** Existe um problema no endpoint 'sendEmail.json.php' que permite que administradores autenticados enviem e-mails do endereço de contato do site, ignorando verificações de origem e a validação de captcha. Isso ocorre via Cross-Site Request Forgery (CSRF), uma técnica onde um site malicioso engana o navegador do usuário para realizar uma ação indesejada em outro site onde o usuário está autenticado. Atacantes podem criar uma página maliciosa que, ao ser visitada por um administrador, envia e-mails com assuntos e corpos personalizados para qualquer destinatário. Como os e-mails originam-se do servidor legítimo, eles passam pelas validações SPF, DKIM e DMARC, facilitando ataques de phishing e falsificação de marca. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.