PT-2026-29359 · Unknown+1 · Wp Login Control+1

Adrgs · CVE-2026-34613 · Publicado 2026-03-31 · Atualizado 2026-07-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Name of the Vulnerable Software and Affected Versions AVideo versões 26.0 e anteriores

Description A plataforma AVideo, nas versões 26.0 e anteriores, apresenta uma falha no endpoint objects/pluginSwitch.json.php. Este endpoint permite que administradores habilitem ou desabilitem plugins, mas não possui validação de token CSRF. A tabela de banco de dados plugins é excluída das verificações de segurança, ignorando a validação de Referer/Origin durante as salvagens. Com SameSite=None definido nos cookies de sessão, um invasor pode desabilitar plugins de segurança como LoginControl para autenticação de dois fatores, aplicação de assinaturas ou controle de acesso, induzindo um administrador a visitar uma página maliciosa.

Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-34613

GHSA-HQXF-MHFW-RC44

Produtos afetados

Avideo

Wp Login Control

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/34xxx/CVE-2026-34613.json · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/7ddfe4ec270d720e11f5dc28db73dfcd2cf9192a · Nota
• https://github.com/WWBN/AVideo/commit/da375103d59118d1c1b1801ac7fce3cd426f8736 · Nota
• https://github.com/WWBN/AVideo/security/advisories/GHSA-hqxf-mhfw-rc44 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-34613 · Aviso do Fabricante
• https://t.me/cveNotify/221435 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hqxf-mhfw-rc44 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2039372123592876378 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-34613 · Nota de Segurança