WWBN AVideo посредством фиксации 9c39d8c8b4c1f75540788d6b391740852ceb0732 содержит уязвимость обхода авторизации в конечной точке Users_affiliations add.json.php, которая позволяет прошедшим проверку подлинности пользователям подделывать записи о двухстороннем согласии, предоставляя временную метку соглашения контрагента. Злоумышленники могут создать поддельную принадлежность со статусом = 'a', а затем передать право собственности на видео произвольным пользователям через конечную точку videoAddNew.json.php, которая доверяет поддельной принадлежности в качестве условия авторизации.
Показать оригинальное описание (EN)
WWBN AVideo through commit 9c39d8c8b4c1f75540788d6b391740852ceb0732 contains an authorization bypass vulnerability in the Users_affiliations add.json.php endpoint that allows authenticated users to forge two-party consent records by supplying the counterparty's agreement timestamp. Attackers can create a forged affiliation with status='a' and then reassign video ownership to arbitrary users through the videoAddNew.json.php endpoint, which trusts the forged affiliation as an authorization term.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Wwbn Avideo
cpe:2.3:a:wwbn:avideo:-:*:*:*:*:*:*:*
|
— | — |