Avideo · Authorize.Net · CVE-2026-47696
**Nome do Software Vulnerável e Versões Afetadas**
AVideo versões 29.0 e anteriores
**Description**
Um problema existe no endpoint 'plugin/AuthorizeNet/processPayment.json.php' que permite que qualquer usuário logado adicione fundos arbitrários à sua própria carteira quando os plugins AuthorizeNet e YPTWallet estão habilitados. O endpoint credita a carteira do usuário baseando-se apenas no parâmetro POST `amount` controlado pelo atacante, sem validar qualquer transação do Authorize.Net, assinatura de webhook, token de pagamento hospedado, nonce ou registro de pagamento no servidor. Isso ocorre porque o endpoint define a variável `$paymentSuccess` como verdadeira (true) e chama a função `addBalance()` do plugin YPTWallet sem realizar a verificação real do pagamento.
**Recommendations**
Para as versões 29.0 e anteriores, remova ou desabilite o arquivo 'plugin/AuthorizeNet/processPayment.json.php' se ele for obsoleto. Implemente a verificação de um ID de transação do Authorize.Net e a consulta do valor no servidor antes de chamar a função `addBalance()`. Como medida de mitigação temporária, desabilite os plugins AuthorizeNet ou YPTWallet para evitar créditos não autorizados na carteira.