WWBN AVideo: Unzureichende Zahlungsprüfung im PayPal-IPN-Handler

Zusammenfassung

WWBN AVideo bis einschliesslich 29.7.1 prüft PayPal-Benachrichtigungen für wiederkehrende Zahlungen in plugin/PayPalYPT/ipnV2.php nicht ausreichend. Ein nicht authentifizierter Angreifer kann echte, verifizierte IPNs aus seinem eigenen PayPal-Konto weiterleiten und die users_id des Zielbenutzers frei wählen, sodass für diesen Benutzer bei jedem Abrechnungszyklus Wallet-Guthaben gutgeschrieben wird. Voraussetzung ist, dass die Plugins PayPalYPT und YPTWallet aktiviert sind. Der referenzierte Herstller-Commit ändert die IPN-Verarbeitung in ipnV2.php.

Betroffen

• WWBN AVideo 0 bis einschliesslich 29.7.1 (gemäss CVE-Eintrag)
• Nur relevant, wenn die Plugins PayPalYPT und YPTWallet aktiviert sind

Behoben in

Unbekannt. Der referenzierte Commit 98406b7944e035e72082665ac886d78fc3af0a7f ändert ipnV2.php, eine korrigierte Version ist jedoch nicht bestätigt.

Umgehung

Unbekannt. Für diese CVE ist kein Workaround des Herstellers bestätigt.

• Bis eine Korrektur bestätigt ist, Wallet-Gutschriften und Abonnement-Verlängerungen auf unerwartete Einträge prüfen.
• Sofern die Umgebung es erlaubt, den Zugriff auf die PayPal-IPN-Endpunkte einschränken und prüfen, dass Änderungen legitime Zahlungen nicht beeinträchtigen.

Ausnutzung

• Aktive Ausnutzung in der Praxis: nichts gefunden.
• Öffentlicher Proof of Concept: für diese CVE nichts gefunden.
• NVD-Status: Deferred. Die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend.

Unsere Empfehlung

• Prüfen, ob Kunden AVideo mit aktiviertem PayPalYPT oder YPTWallet betreiben, und welche Version im Einsatz ist.
• Die korrigierte Version aus dem Herstellerhinweis GHSA-5gg3-9jhh-xf86 oder dem referenzierten Commit ermitteln und betroffene Systeme anschliessend aktualisieren.
• Wallet-Gutschriften und Abonnement-Verlängerungen auf betroffenen Systemen der letzten Zeit überprüfen.
• Diese CVE in einigen Tagen erneut prüfen, da die NVD-Analyse noch aussteht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• AVideo ipnV2.php at v29.7.1 (GitHub) github.com
• Commit 98406b7 (GitHub) github.com
• GitHub Security Advisory GHSA-5gg3-9jhh-xf86 github.com
• VulnCheck advisory: WWBN AVideo wallet credit manipulation www.vulncheck.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:21.