WWBN AVideo Live-Plugin: Fehlende Autorisierung legt Stream-Schlüssel anderer Benutzer offen

Zusammenfassung

Das Live-Plugin von WWBN AVideo bis einschliesslich 29.7.1 prüft in seinen Restream-Endpunkten die Berechtigung nicht. Ein authentifizierter Benutzer mit Streamer-Rechten kann beliebige IDs von Live-Übertragungen angeben und so Aktions-Tokens für Streams anderer Benutzer erhalten. Mit diesen Tokens lassen sich die HLS-URLs und Stream-Schlüssel der Opfer abrufen, wodurch ein Angreifer im Namen des Opfers senden oder private bzw. kostenpflichtige Live-Streams weiterleiten kann.

Betroffen

• WWBN AVideo bis einschliesslich 29.7.1 (Live-Plugin, Restream-Endpunkte; Bereich gemäss CVE-Eintrag, nicht unabhängig bestätigt)
• Die Ausnutzung erfordert ein authentifiziertes Konto mit Streamer-Berechtigung (canStream)

Behoben in

Unbekannt. Der Hersteller-Advisory GHSA-233c-vfmw-6rw9 und der Commit be9d70199279aafe5062744d319fd4df4e5f7a48 sollten auf die korrigierte Version geprüft werden.

Umgehung

• Keine vom Hersteller bestätigte Massnahme bekannt.
• Streamer-Rolle (canStream) auf vertrauenswürdige Konten beschränken.
• Live-Plugin deaktivieren, falls es nicht genutzt wird.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn bekannt; nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept bekannt.
• Ähnliche Schwachstellen im Live-Plugin wurden gemeldet, was das Risiko künftiger Ausnutzung erhöht.

Unsere Empfehlung

• Prüfen, ob AVideo mit dem Live-Plugin im Einsatz und aus dem Internet erreichbar ist.
• Prüfen, welche Konten die Streamer-Berechtigung (canStream) besitzen, und nicht benötigte Berechtigungen entfernen.
• Live-Plugin deaktivieren, sofern nicht benötigt.
• Sobald die korrigierte Version aus dem Hersteller-Advisory bestätigt ist, den Hersteller-Fix einspielen.
• Bei vermuteter Exposition Stream-Schlüssel und Restream-Zugangsdaten bei externen Plattformen erneuern.
• Auf unerwartete Live-Streams oder Restreams auf den eigenen Kanälen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record references: verifyTokenForAction.json.php (v29.7.1) github.com
• CVE record references: getRestream.json.php (v29.7.1) github.com
• Fix commit be9d70199279aafe5062744d319fd4df4e5f7a48 github.com
• GitHub Security Advisory GHSA-233c-vfmw-6rw9 github.com
• VulnCheck advisory: Missing authorization via live restream endpoints www.vulncheck.com
• WWBN AVideo Live Plugin wiki github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:22.