CVE-2026-33731

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 29.0

Description O manipulador de webhook do Authorize.Net em 'plugin/AuthorizeNet/webhook.php' contém uma falha de bypass na verificação de assinatura. Um invasor pode forjar solicitações de webhook fornecendo um ID de transação válido de uma compra legítima de pequeno valor, o que permite ignorar a validação de assinatura e creditar saldos arbitrários na carteira de qualquer conta de usuário por meio de campos de payload controlados pelo invasor. Isso é possível devido a uma cadeia de exploração que envolve três falhas: um bypass de assinatura usando lógica OR em webhook.php, valores de payload que substituem valores obtidos via API em AuthorizeNet.php e webhook.php, e a ausência de uma verificação de aprovação em webhook.php antes de chamar a função processSinglePayment(). Ao forjar metadados de pagamento, incluindo a variável plans id, um invasor pode ativar assinaturas premium e obter acesso gratuito a conteúdos pagos, resultando em perda direta de receita para o proprietário da plataforma.

Recommendations Atualize para a versão 29.0. Como medida paliativa temporária, restrinja o acesso ao endpoint 'plugin/AuthorizeNet/webhook.php' ou desative o plugin Authorize.Net até que a atualização seja aplicada.