WWBN AVideo до версии 30.0 не обеспечивает аутентификацию на конечных точках report4.json.php и report4.1.json.php, что позволяет неаутентифицированному доступу к статистике регистрации пользователей. Злоумышленники могут отправлять GET-запросы на эти конечные точки для получения ежедневных и совокупных данных о регистрации пользователей без какого-либо сеанса или авторизации.
Показать оригинальное описание (EN)
WWBN AVideo through version 30.0 fails to enforce authentication on the report4.json.php and report4.1.json.php endpoints, allowing unauthenticated access to user registration statistics. Attackers can send GET requests to these endpoints to retrieve daily and cumulative user-registration counts without any session or authorization.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0