Zaloguj się
Deutsch English Español Polski
Średnia

AVideo CVE-2026-43881 incomplete fix - `objects/mention.json.php:17` is an unauthenticated user enumeration sibling that survives `d9cdc7024`

  • Ujawniono: 18.05.2026
  • Aktualizacja: 11.10.2026 10:22

CVE-2026-43881 fix d9cdc7024 patched users.json.php only. The same anti-pattern survives at master HEAD in:

objects/mention.json.php:17     $ignoreAdmin = true;
objects/mention.json.php:18     $users = User::getAllUsers($ignoreAdmin,
                                    ['name', 'email', 'user', 'channelName'], 'a');

No User::loginCheck(), no admin gate. Only entry guard: preg_match('/^@/', $_REQUEST['term']) and hard-coded rowCount=10.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer WWBN/AVideo <= 29.0 brak poprawki

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-204, CWE-285
Platforma
Composer
Paczka
WWBN/AVideo
Ujawniono
18.05.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-vpfx-pxqw-2w79 - CC BY 4.0

Historia podatności: WWBN/AVideo

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (160) w archiwum
Wszystkich wpisów
160
Pierwsza → ostatnia
04.2022 06.2026
Bez poprawki
143
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 14
  • Wysoka 61
  • Średnia 83
  • Niska 2

Ujawnienia w latach

Istotność:
  1. AVideo has an incomplete fix of CVE-2026-33482: sanitizeFFmpegCommand still allows a single '&' (background operator), giving OS command execution at the same execAsync sh -c sink
    Wysoka · 8.1 CVE-2026-55173 <= 29.0 brak poprawki
  2. AVideo Vulnerable to Unauthenticated .env File Exposure via Official Docker Compose Configuration
    Wysoka · 7.5 CVE-2026-33692 < 29.0 29.0
  3. WWBN AVideo: Unauthenticated Stored DOM Cross-Site Scripting via Per-Client Metadata Broadcast in YPTSocket Plugin
    Krytyczna · 9.6 CVE-2026-54458 <= 29.0 brak poprawki
  4. WWBN AVideo: Stored XSS via autoEvalCodeOnHTML Bypass in MessageSQLite WebSocket Handler (CVE-2026-43874 Bypass)
    Wysoka CVE-2026-49279 <= 29.0 brak poprawki
  5. WWBN AVideo: Authenticated wallet credit bypass in AuthorizeNet processPayment endpoint
    Wysoka · 4.3 CVE-2026-47696 <= 29.0 brak poprawki
  6. AVideo CVE-2026-43881 incomplete fix - `objects/mention.json.php:17` is an unauthenticated user enumeration sibling that survives `d9cdc7024` ten wpis
    Średnia · 5.3 CVE-2026-45620 <= 29.0 brak poprawki
  7. AVideo: OS command injection in on_publish.php execAsync via unescaped m3u8 URL
    Wysoka · 8.8 CVE-2026-45578 <= 29.0 brak poprawki
  8. AVideo's Meet plugin: `uploadRecordedVideo.json.php` derives `users_id` from the uploaded filename and calls passwordless `User->login()`, allowing any caller with the Meet shared secret to obtain a session as arbitrary users including admin
    Wysoka · 8.1 CVE-2026-56345 <= 29.0 brak poprawki
  9. AVideo Vulnerable to Exposure of Sensitive Information to an Unauthorized Actor and Missing Authorization
    Wysoka CVE-2026-43885 <= 29.0 brak poprawki
  10. AVideo has SSRF Protection Bypass via HTTP Redirect and DNS Rebinding in isSSRFSafeURL()
    Wysoka · 7.7 CVE-2026-43884 <= 29.0 brak poprawki
  11. AVideo has an Incomplete Fix for YPTSocket autoEvalCodeOnHTML Strip: Unauthenticated Cross-User JavaScript Execution via `$msg['json']` Relay Bypass
    Wysoka · 7.2 CVE-2026-43874 <= 29.0 brak poprawki
  12. AVideo: Unauthenticated Disclosure of CloneSite `myKey` via Error Echo in `cloneClient.json.php` Enables Cross-Site DB Dump of the Configured Clone Server
    Wysoka · 7.5 CVE-2026-43873 <= 29.0 brak poprawki
  13. WWBN AVideo: RCE cause by clonesite plugin
    Wysoka · 9.8 CVE-2026-41304 <= 29.0 brak poprawki
  14. WWBN AVideo has an incomplete fix for CVE-2026-33502: Command Injection
    Wysoka · 9.3 CVE-2026-41064 <= 29.0 brak poprawki
  15. WWBN AVideo has a SSRF via same-domain hostname with alternate port bypasses isSSRFSafeURL
    Wysoka · 7.7 CVE-2026-41060 <= 29.0 brak poprawki
  16. WWBN AVideo has a CORS Origin Reflection Bypass via plugin/API/router.php and allowOrigin(true) Exposes Authenticated API Responses
    Wysoka · 7.1 CVE-2026-41057 <= 29.0 brak poprawki
  17. WWBN AVideo has CORS Origin Reflection with Credentials on Sensitive API Endpoints Enables Cross-Origin Account Takeover
    Wysoka · 8.1 CVE-2026-41056 <= 29.0 brak poprawki
  18. WWBN AVideo has Multiple CSRF Vulnerabilities in Admin JSON Endpoints (Category CRUD, Plugin Update Script)
    Wysoka · 7.1 CVE-2026-40926 <= 29.0 brak poprawki
  19. WWBN AVideo has CSRF in configurationUpdate.json.php Enables Full Site Configuration Takeover Including Encoder URL and SMTP Credentials
    Wysoka · 8.3 CVE-2026-40925 <= 29.0 brak poprawki
  20. WWBN AVideo YPTSocket WebSocket Broadcast Relay Leads to Unauthenticated Cross-User JavaScript Execution via Client-Side eval() Sinks
    Krytyczna · 10.0 CVE-2026-40911 <= 29.0 brak poprawki
Pokaż więcej (20) Widać 20 z 76

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.