WWBN AVideo до 30.0 содержит уязвимость раскрытия информации в конечной точке getConfiguration подключаемого модуля MobileManager, которая возвращает конфиденциальные данные конфигурации неаутентифицированным посетителям. Злоумышленники могут отправить неаутентифицированный запрос GET к плагину/MobileManager/getConfiguration.json.php, чтобы получить пути к файлам закрытого ключа TLS, сведения о конфигурации сокета, версию платформы и флаги отладки, позволяющие проводить дальнейшие целевые атаки.
Показать оригинальное описание (EN)
WWBN AVideo through 30.0 contains an information disclosure vulnerability in the MobileManager plugin getConfiguration endpoint that returns sensitive configuration data to unauthenticated visitors. Attackers can send an unauthenticated GET request to plugin/MobileManager/getConfiguration.json.php to obtain TLS private key file paths, socket configuration details, platform version, and debug flags enabling further targeted attacks.
Характеристики атаки
Последствия
Строка CVSS v4.0