PT-2022-21451 · Wwbn · Avideo

Claudio Bozzato · Publicado 2022-08-22 · Atualizado 2022-08-24 · CVE-2022-32769

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

WWBN AVideo versões 11.6

Descrição

Existem várias falhas que permitem contornar a autenticação na funcionalidade de gerenciamento de IDs de objetos. Uma solicitação HTTP especialmente criada por um usuário autenticado pode levar ao acesso não autorizado e à apropriação de recursos. Essa vulnerabilidade está presente no plugin Playlists, permitindo que um invasor contorne a autenticação ao adivinhar um ID sequencial, o que lhe permite assumir o controle das listas de reprodução de outro usuário.

Recomendações

Para a versão 11.6, considere desativar o plugin Playlists até que uma correção esteja disponível para impedir a exploração.

Como solução temporária, restrinja o acesso à funcionalidade de gerenciamento de IDs sequenciais para minimizar o risco de acesso não autorizado.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-32769

Produtos afetados

Avideo

Referências · 5

• https://github.com/WWBN/AVideo/blob/e04b1cd7062e16564157a82bae389eedd39fa088/updatedb/updateDb.v12.0.sql · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-32769 · Nota de Segurança
• https://t.me/cibsecurity/48543 · Publicação no Telegram
• https://talosintelligence.com/vulnerability_reports/TALOS-2022-1536 · Nota
• https://osv.dev/vulnerability/CVE-2022-32769 · Aviso do Fabricante