PT-2026-30985 · Paypalypt+1 · Paypalypt+1

Offset · Publicado 2026-04-07 · Atualizado 2026-04-08 · CVE-2026-39366

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Name of the Vulnerable Software and Affected Versions AVideo versões 26.0 e anteriores

Description A plataforma AVideo, uma plataforma de vídeo de código aberto, apresenta uma falha no manipulador PayPal IPN v1 localizado em 'plugin/PayPalYPT/ipn.php'. Este manipulador não deduplica corretamente as transações, o que pode permitir que um invasor repita uma notificação IPN legítima várias vezes. Essa repetição pode levar a um invasor inflando o saldo da sua carteira e renovando assinaturas repetidamente. Os manipuladores 'ipnV2.php' e 'webhook.php' mais recentes deduplicam corretamente as transações usando entradas PayPalYPT log, mas o manipulador v1 vulnerável permanece em uso como o notify url para planos de faturamento.

Recommendations Atualize o AVideo para uma versão posterior à 26.0.

Exploit

Correção

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

CVE-2026-39366

GHSA-MMW7-WQ3C-WF9P

Produtos afetados

Avideo

Paypalypt

Referências · 6

• 🔥 https://github.com/WWBN/AVideo/security/advisories/GHSA-mmw7-wq3c-wf9p · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/8f53e9d9c6aaa07d51ace30691981edbbfb5ca1c · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-39366 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-mmw7-wq3c-wf9p · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2041603141053944137 · Publicação no Twitter