Rajivraj

Existe uma fila por conexão sem limite no `WebSocketServerExtensionHandler`. O manipulador adiciona uma entrada à sua fila `validExtensions` para cada `HttpRequest` recebida, mas remove uma entrada apenas quando a aplicação escreve um `HttpResponse`. Um invasor remoto não autenticado pode utilizar o pipelining de HTTP/1.1—uma técnica onde múltiplas requisições são enviadas por uma única conexão TCP sem aguardar as respostas correspondentes—para enviar requisições mais rapidamente do que a aplicação consegue responder. Isso faz com que a fila cresça indefinidamente, levando ao esgotamento da memória heap da JVM e a um `OutOfMemoryError`. Como este manipulador é a classe base do `WebSocketServerCompressionHandler`, servidores que habilitam o `permessage-deflate` ficam expostos em sua porta HTTP comum antes que as atualizações de WebSocket ou a autenticação em nível de aplicação ocorram.

Um vazamento de ByteBuf ocorre na função `StompSubframeDecoder`. Quando o comprimento de conteúdo declarado de um frame é totalmente lido, o decodificador aloca um buffer de chunk e aguarda o byte NUL de terminação. Se esse byte não for recebido, o buffer não é liberado porque o sinal lançado por `skipNullCharacter()` estende Error em vez de Exception, ignorando o caminho de liberação. Além disso, o decodificador não sobrescreve `handlerRemoved0` ou `channelInactive`, permitindo que o buffer persista após o encerramento do canal. Um peer remoto pode causar esse vazamento enviando um corpo de frame bem formado sem o byte NUL de terminação, podendo levar à exaustão de memória, já que o alocador pool não recupera a memória.

Uma falha de controle de acesso quebrado existe no endpoint 'objects/userVerifyEmail.php'. O script desativa os requisitos de login através da variável `$global['ignoreUserMustBeLoggedIn']` e aceita o parâmetro `users id` diretamente da string de consulta. Ele chama a função `User::sendVerificationLink()` sem exigir uma sessão, um token CSRF, uma verificação de relacionamento entre o chamador e o alvo, ou a função `enforceRateLimit()`. Como o limite de taxa está vinculado à sessão do chamador, solicitações feitas sem cookies não são limitadas. Isso permite que um invasor remoto não autenticado envie um número ilimitado de e-mails de verificação para qualquer ID de conta e enumere contas e seus status de verificação com base nas respostas JSON. Além disso, a função `createVerificationCode()` aciona `$user->setRecoverPass()`, que salva um token de recuperação de senha ativo na conta alvo. Este token é enviado em formato base64 dentro do link de verificação e é aceito pelo endpoint 'objects/userRecoverPassSave.json.php' como uma credencial válida para definir uma nova senha.

Existe uma falha de bypass de autenticação na verificação do segundo fator PGP do componente LoginControl. O problema ocorre porque as respostas do desafio são comparadas usando igualdade solta (loose equality) contra uma variável de sessão não inicializada. Um invasor que possua a senha de uma vítima pode ignorar a autenticação de segundo fator enviando uma requisição GET sem parâmetros para o endpoint 'verifyChallenge.json.php', fazendo com que o sistema avalie `null == null` e marque a autenticação como concluída.

Atacantes autenticados podem causar uma dessincronização entre os votos armazenados e os contadores porque a função `Like:: construct()` realiza aritmética de contador em valores de requisição brutos antes de serem validados. Ao enviar parâmetros de curtida do tipo array seguidos de requisições comuns, um atacante pode tornar as contagens de curtidas de vídeos arbitrariamente negativas. Essa corrupção persiste no contador desnormalizado, que é uma cópia redundante de dados usada para melhorar o desempenho de leitura, até que seja reparada manualmente.

A função `autoCSRFGuard()` utiliza uma lista de permissões (allowlist) codificada de nomes base isentos que são testados sem o contexto do diretório. Isso permite que arquivos de plugins que compartilham nomes com arquivos principais herdem isenções de Cross-Site Request Forgery (CSRF). Especificamente, o arquivo `login.json.php` do plugin LoginWordPress herda tal isenção, o que permite a desconexão incondicional de usuários autenticados durante requisições POST cross-site antes que as credenciais sejam validadas.

Existe um controle de acesso quebrado no ramo `clean title` do endpoint de API 'get api video'. Esta falha permite que chamadores anônimos ignorem restrições de grupo ao consultar vídeos através de seu slug público, resultando na divulgação não autorizada de Informações de Identificação Pessoal (PII) do proprietário do vídeo. Os campos sensíveis expostos incluem e-mail, telefone, endereço, data de nascimento e status de administrador.

Existe uma falha de bypass de autenticação onde o hash da senha armazenada é aceito como uma credencial de login válida. Isso ocorre por meio de dois caminhos de código independentes nas funções `loginFromRequest()` e `encryptPasswordVerify()`. Atacantes que obtenham o valor do hash `users.password` armazenado podem se autenticar como qualquer usuário enviando o hash diretamente para os endpoints de login, ignorando a verificação de senha.

Um problema de cross-site scripting armazenado existe onde o endpoint não autenticado 'objects/videoAddViewCount.json.php' chama a função `VideoStatistic::save()`. Este processo grava a string `User-Agent` do chamador, recuperada via `getUserAgentInfo()`, diretamente na coluna `app` da tabela videos statistics sem a sanitização adequada através de `setApp()`, já que `normalizeApp()` apenas trunca o valor. Quando o proprietário de um vídeo ou um administrador acessa a página de estatísticas 'view/videoViewsInfo.php', o campo é renderizado usando um renderizador não escapado no DataTables 1.12.1. Como o DataTables utiliza innerHTML para atribuir o conteúdo da célula, o HTML fornecido pelo invasor é executado na sessão autenticada do usuário privilegiado.

Existe uma condição de corrida na função `enforceRateLimit()` que falha ao incrementar atomicamente os contadores de limite de taxa. Isso permite que atacantes ignorem todos os limites de taxa, incluindo a proteção contra força bruta de login, emitindo requisições simultâneas. Consequentemente, atacantes podem enviar tentativas de credenciais paralelas para exceder o limite de login de 30 tentativas a cada 5 minutos por um fator determinado pela concorrência de sua conexão.

Ocorre falsificação de solicitação cross-site (CSRF) porque o endpoint 'objects/videoAddNew.json.php' desativa a proteção automática de CSRF (`$global['skipAutoCSRFCheck']`) e a verificação de solicitações não confiáveis (`$global['bypassSameDomainCheck']`) quando os parâmetros `user` e `pass` estão presentes na solicitação. Esses valores são lidos de `$ REQUEST` sem validação, permitindo que um invasor os inclua na string de consulta de uma solicitação cross-site. Como a função `User::loginFromRequestIfNotLogged()` retorna imediatamente se uma sessão já existir, uma vítima autenticada satisfaz a verificação enquanto as credenciais do invasor são descartadas. Isso permite que um invasor atraia usuários com direitos de upload para uma página manipulada e envie solicitações cross-origin para modificar registros de vídeo, incluindo `setUsers id` para transferência de propriedade, `can download`, `can share`, `only for paid`, `video password`, `rating`, `status`, data de criação e contagem de visualizações. Usuários com direitos de administrador ou `Permissions::canAdminVideos()` podem ter qualquer vídeo do site alterado, incluindo a remoção de restrições de grupo de conteúdos privados.

A falha na aplicação de restrições de grupo de usuários permite que invasores não autenticados recuperem detalhes de transmissões ao vivo restritas. Essas informações incluem chaves de transmissão, títulos, descrições, informações do proprietário e URLs diretas de reprodução HLS (HTTP Live Streaming). O problema ocorre ao acessar os endpoints 'plugin/Live/stats.json.php' e 'plugin/Live/calendar.json.php'.

O software expõe um caminho de login não documentado através da função `get api preauthorize()` em plugin/API/API.php. Ao contrário do processo de login padrão, este caminho não implementa limitação de taxa via função `checkRateLimit()`, permitindo tentativas ilimitadas de adivinhação de senha remotamente contra qualquer conta, incluindo administradores. Além disso, o endpoint funciona como um oráculo de credenciais; embora retorne uma mensagem genérica de "Invalid credentials" para todas as tentativas, o campo `users id` no corpo da resposta revela o status da autenticação (`users id:1` para sucesso e `users id:0` para falha). Uma tentativa bem-sucedida também estabelece um cookie de sessão que pode ser usado para requisições de API autenticadas, permitindo a invasão de contas via força bruta não autenticada.

A API falha ao aplicar limites de taxa (rate limits) quando os clientes utilizam um cabeçalho User-Agent de bot. Isso permite que atacantes ignorem oito operações protegidas, incluindo a proteção contra força bruta de login, enviando requisições com um User-Agent de bot para desativar a limitação de taxa. Consequentemente, um atacante pode realizar tentativas ilimitadas de adivinhação de senha contra qualquer conta a partir de um único endereço IP.

O AVideo gera senhas para contas de login externo usando a função `rand()` em vez de um gerador criptográfico seguro, limitando a saída a inteiros de 31 bits. Além disso, o software utiliza hashing baseado em MD5 sem salt para essas senhas. Essa combinação permite que invasores que obtenham os hashes das senhas recuperem as senhas em texto simples rapidamente por meio de ataques de força bruta offline.

Quando o plugin YPTSocket está habilitado, existe um problema de cross-site scripting através do mecanismo de callback do websocket. Atacantes não autenticados podem executar JavaScript arbitrário nos navegadores de outros usuários enviando mensagens de socket manipuladas. Isso ocorre quando os nomes de callback resolvem para funções globais, como `avideoConfirmHTML()`, que aceitam dados não confiáveis e os atribuem ao `innerHTML`, permitindo a execução de scripts na origem da vítima sem autenticação ou interação do usuário.

Um problema de path traversal existe no endpoint 'notify.ffmpeg.json.php'. Atacantes não autenticados podem gravar arquivos em locais arbitrários dentro da raiz do aplicativo e subdiretórios ao fornecer um caminho personalizado através do parâmetro `avideoRelativePath`. Isso é possível porque o sistema permite a repetição de texto cifrado emitido anteriormente como um token `notifyCode`, que é descriptografado mas não validado, ignorando efetivamente a autenticação.

Um controle de acesso quebrado no endpoint 'videoViewsInfo' permite que chamadores não autenticados recuperem registros completos de usuários quando um parâmetro `hash` é fornecido. Os dados expostos incluem hashes de senha, tokens de recuperação e identificadores de sessão ativa. Isso pode levar ao sequestro de sessões de visualizadores, incluindo contas de administrador, e à aquisição não autorizada de dados pessoais sensíveis de todos os visualizadores de vídeo.

A validação inadequada dos controles de acesso na página do canal público permite que visitantes não autenticados visualizem vídeos não listados e restritos a grupos. Isso ocorre por meio do uso de sinalizadores de visibilidade codificados e uma propriedade indefinida. Atacantes podem acessar o endpoint do canal para recuperar conteúdo sensível, como URLs completas de vídeos não listados e miniaturas de conteúdo exclusivo para membros, ignorando a configuração `hidePrivateVideos`.

Existe uma falha de controle de acesso no endpoint não autenticado 'feed/index.php'. Quando o parâmetro `program id` é fornecido, as verificações de visibilidade por vídeo são desativadas. Isso permite que atacantes enumerem identificadores de playlist e recuperem vídeos não listados ou restritos a grupos ao solicitar o feed RSS com qualquer ID de playlist visível, incluindo playlists vazias que podem retornar todo o catálogo de vídeos ocultos do site.