WWBN AVideo: Umgehung der E-Mail-Verifizierung in User::verifyCode()
Zusammenfassung
AVideo-Versionen 6.5 bis 29.7.1 enthalten eine Umgehung der E-Mail-Verifizierung in User::verifyCode(). Aufgrund eines lockeren PHP-Vergleichs des recoverPass-Tokens kann ein registrierter Benutzer mit dem installationsweiten Salt aus seinem eigenen Verifizierungslink einen Verifizierungscode mit beliebiger users_id und recoverPass auf true erstellen. Damit kann der Angreifer die E-Mail-Adressen anderer Konten verifizieren und Funktionen wie Live-Streaming freischalten.
Betroffen
- WWBN AVideo 6.5 bis 29.7.1
- Betroffene Komponente: User::verifyCode() in objects/user.php
Behoben in
- Unbekannt. Die erste korrigierte Version konnte nicht bestätigt werden; die korrigierte Version ist im Herstellerhinweis GHSA-f72w-prhp-h385 zu prüfen.
- Patch-Commit: 115116813611f2cbabfee3f5d9b49ce6f25ae959
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers oder Dritter veröffentlicht.
- Offene Benutzerregistrierung einschränken, bis eine korrigierte Version installiert ist.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept erkannt.
- Keine bekannte Ausnutzung in freier Wildbahn.
Unsere Empfehlung
- Prüfen, ob AVideo im Einsatz ist und welche Version läuft.
- Liegt die Version im betroffenen Bereich, den GHSA-Hinweis auf die korrigierte Version prüfen und aktualisieren.
- Offene Registrierung bis zur Behebung einschränken.
- Kürzlich verifizierte Konten prüfen, insbesondere solche mit Zugriff auf Live-Streaming.
- Die verwandten AVideo-CVEs derselben Serie priorisieren (CVE-2026-126542, CVE-2026-126541) und gemeinsam patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub advisory GHSA-f72w-prhp-h385 github.com
- GitHub commit 115116813611f2cbabfee3f5d9b49ce6f25ae959 github.com
- GitHub user.php at v29.7.1 github.com
- VulnCheck advisory www.vulncheck.com
- CVE Record CVE-2026-126544 www.cve.org
- TheHackerWire CVE-2026-126544 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:13.
Referenzen der NVD (4)
- https://github.com/WWBN/AVideo/blob/v29.7.1/objects/user.php#L3293-L3307
- https://github.com/WWBN/AVideo/commit/115116813611f2cbabfee3f5d9b49ce6f25ae959
- https://github.com/WWBN/AVideo/security/advisories/GHSA-f72w-prhp-h385
- https://www.vulncheck.com/advisories/wwbn-avideo-6.5-through-29.7.1-email-verification-bypass-via-user-verify…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.