PT-2026-34197 · Wwbn · Avideo

CVE-2026-40926 · Publicado 2026-04-14 · Atualizado 2026-04-26

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

Name of the Vulnerable Software and Affected Versions WWBN AVideo versões 29.0 e anteriores

Description Ocorre Cross-Site Request Forgery em três endpoints JSON exclusivos de administrador: 'objects/categoryAddNew.json.php', 'objects/categoryDelete.json.php' e 'objects/pluginRunUpdateScript.json.php'. Esses endpoints realizam ações de alteração de estado no banco de dados aplicando apenas verificações de função via Category::canCreateCategory() e User::isAdmin(), mas falham ao não chamar isGlobalTokenValid() ou forbidIfIsUntrustedRequest(). Isso permite que um invasor atraia um administrador autenticado para uma página maliciosa para criar, atualizar ou excluir categorias e forçar a execução do método updateScript() de qualquer plugin instalado na sessão do administrador.

Recommendations Atualize para uma versão que contenha o commit ee5615153c40628ab3ec6fe04962d1f92e67d3e2.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-40926

GHSA-FFW8-FWXP-H64W

Produtos afetados

Avideo

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/40xxx/CVE-2026-40926.json · Exploit
• 🔥 https://github.com/WWBN/AVideo/security/advisories/GHSA-ffw8-fwxp-h64w · Exploit
• https://github.com/WWBN/AVideo/commit/ee5615153c40628ab3ec6fe04962d1f92e67d3e2 · Correção
• https://github.com/WWBN/AVideo · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40926 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-ffw8-fwxp-h64w · Aviso do Fabricante
• https://twitter.com/TheRabbitPy/status/2046854039523008598 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2048481083449090307 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2046889308540264492 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-40926 · Aviso do Fabricante