PT-2026-138056

CVE-2026-123486

Publicado

2026-11-06

Atualizado

2026-11-06

Descrição por

CVSS 4.0

6.0

Média

MétricasAV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas AVideo versões 29.0 through 29.4.0

Description Existe uma condição de corrida no arquivo plugin/PayPalYPT/ipn.php. Isso ocorre porque o processo de verificação e inserção de deduplicação não é atômico, permitindo que invasores ignorem a proteção de replay de Notificação de Pagamento Instantâneo (IPN). Ao reproduzir simultaneamente uma notificação de pagamento recorrente válida capturada, múltiplas solicitações podem passar pela função isRecurringPaymentIdUsed(), permitindo que o invasor obtenha renovações de assinatura e créditos de carteira duplicados.

Recommendations Atualize o AVideo para uma versão posterior à 29.4.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Vectrain51

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition

Identificadores relacionados