Das WordPress-Plugin Broadcast Live Video (videowhisper-live-streaming-integration) bis und mit Version 7.3.9 enthält eine Schwachstelle bei der Zugriffskontrolle, klassifiziert als fehlende Autorisierung (CWE-862). Ein angemeldeter Benutzer mit niedrigen Rechten, etwa ein Subscriber-Konto, kann möglicherweise Aktionen ausführen, die ihm nicht erlaubt sind, was die Integrität und Verfügbarkeit der Website beeinträchtigen kann. Die Quellen widersprechen sich bei der genauen Schwachstelle und Bewertung: Die CNA bewertet sie mit 7.1, VulDB klassifiziert sie als CWE-306 mit 5.4.
VideoWhisper.com · Broadcast Live Video
Das WordPress-Plugin Paid Videochat Turnkey Site (ppv-live-webcams) enthält eine Schwachstelle für reflektiertes Cross-Site-Scripting (CWE-79). Ein Angreifer kann bösartige Skripte einschleusen, die im Browser eines Besuchers oder eines angemeldeten Benutzers ausgeführt werden, zum Beispiel um Daten zu stehlen oder Konten zu übernehmen. Voraussetzung ist, dass ein Opfer einen präparierten Link anklickt oder eine präparierte Seite besucht. Der CNA stuft das Problem mit CVSS 7.1 (Hoch) ein, VulDB bewertet es tiefer.
VideoWhisper.com · Paid Videochat Turnkey Site
Das WordPress-Plugin Paid Videochat Turnkey Site (ppv-live-webcams) bis und mit Version 7.5.12 prüft Berechtigungen nicht korrekt und ist daher als Broken Access Control eingestuft. Ein nicht authentifizierter Angreifer im Netzwerk kann auf Funktionen zugreifen, die ihm nicht zustehen, wobei die Auswirkungen laut CVSS auf Vertraulichkeit, Integrität und Verfügbarkeit gering sind. Die betroffene Funktion ist in den verfügbaren Quellen nicht bestätigt. Patchstack stuft die Lücke als hohe Priorität ein und erwartet Ausnutzung in Massenkampagnen, eine bestätigte Ausnutzung wurde jedoch nicht gefunden.
VideoWhisper.com · Paid Videochat Turnkey Site
Das WordPress-Plugin Broadcast Live Video (videowhisper-live-streaming-integration) von VideoWhisper.com enthält in Versionen bis und mit 7.3.2 eine Session-Fixation-Schwachstelle (CWE-384). Gemäss den CVE-Daten kann ein nicht authentifizierter Angreifer die Sitzung eines angemeldeten Benutzers übernehmen und in dessen Namen handeln, ohne das Passwort zu kennen. Der CVSS-3.1-Wert beträgt 7.3 (über das Netzwerk erreichbar, keine Berechtigungen oder Benutzerinteraktion nötig). Patchstack stuft die Schwachstelle als hohe Priorität ein, in den geprüften Quellen ist jedoch keine bestätigte Ausnutzung belegt.
VideoWhisper.com · Broadcast Live Video
