PT-2026-89381

CVE-2026-88870

Publicado

2026-09-10

Atualizado

2026-09-18

Descrição por

CVSS 3.1

7.1

Alta

MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas WWBN AVideo versões anteriores ao commit c3edcc274c389816d434acadac07ee78eaf330c1

Description Um problema de cross-site request forgery (CSRF) existe no plugin LoginControl. Os endpoints de chave PGP não validam tokens CSRF, permitindo que atacantes utilizem páginas maliciosas com tags de imagem direcionadas ao endpoint 'savePublicKey.json.php'. Isso pode ser usado para substituir a chave pública PGP 2FA de um usuário autenticado, potencialmente levando ao bloqueio da conta ou ao sequestro da conta caso o atacante possua a senha do usuário.

Recommendations Atualize o WWBN AVideo para a versão que contém o commit c3edcc274c389816d434acadac07ee78eaf330c1.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Santhreal

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-352: Cross-Site Request Forgery (CSRF)

Identificadores relacionados