WWBN AVideo: Fehlende Autorisierung in Tags-API legt eingeschränkte Videodaten offen

Zusammenfassung

WWBN AVideo bis einschliesslich 29.7.1 weist eine fehlende Autorisierung in der Funktion get_api_tags() des API-Plugins auf. Ein Angreifer mit einem registrierten Benutzerkonto kann ein Tag abonnieren und die Tags-API abfragen, um Dateinamen, Titel und gespeicherte Video-Passwörter von nicht gelisteten, gruppenbeschränkten und passwortgeschützten Videos abzurufen. Dadurch können private Inhalte unberechtigt angesehen werden; Integrität und Verfügbarkeit sind nicht betroffen.

Betroffen

• WWBN AVideo 0 bis einschliesslich 29.7.1 (gemäss CVE-Eintrag von VulnCheck)
• VulDB führt zusätzlich 29.7.0 und 29.7.1 als betroffen auf

Behoben in

Unbekannt. Der CVE-Eintrag verweist auf den Commit a8d1e0e484d655556422841d08b2b0fb64332721 als Patch, die korrigierte Version ist jedoch nicht bestätigt.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.

• Die Erstellung von Konten einschränken, da der Angreifer ein registriertes Konto benötigt.
• Prüfen, welche Videos auf Passwort- oder Gruppenbeschränkungen angewiesen sind, und deren Passwörter ändern, da gespeicherte Passwörter offengelegt werden könnten.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof-of-Concept gefunden. VulDB gibt an, dass technische Details bekannt sind, aber kein Exploit verfügbar ist.

Unsere Empfehlung

• Prüfen, ob eine AVideo-Instanz aus dem Internet erreichbar ist, offene Registrierung erlaubt und private oder kostenpflichtige Inhalte enthält. Diese Systeme priorisieren.
• Auf die korrigierte Version aktualisieren, sobald der Hersteller diese über GHSA-3w98-8958-84rh und den referenzierten Commit bestätigt.
• Bis zur Behebung die Kontoerstellung einschränken und Passwörter geschützter Videos ändern.
• Protokolle auf ungewöhnliche Anfragen an die Tags-API überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-126545 www.cve.org
• GitHub Security Advisory GHSA-3w98-8958-84rh github.com
• AVideo commit a8d1e0e (referenced patch) github.com
• VulnCheck advisory: missing authorization via get_api_tags www.vulncheck.com
• AVideo API.php at v29.7.1 github.com
• AVideo TagsHasVideos.php at v29.7.1 github.com
• VulDB entry 435559 vuldb.com
• TheHackerWire CVE-2026-126545 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:12.