PT-2026-37297 · Avideo · Avideo

Offset

·

Publicado

2026-05-05

·

Atualizado

2026-05-12

·

CVE-2026-43881

CVSS v3.1

5.3

Média

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas WWBN AVideo versões anteriores a 29.1
Descrição Um problema no endpoint 'objects/users.json.php' permite que atacantes remotos não autenticados divulguem o conjunto completo de contas de usuários registradas. Isso ocorre por meio de dois caminhos distintos:
Primeiro, o parâmetro de requisição isCompany aciona uma falha de lógica que define a variável $ignoreAdmin como verdadeira para chamadores que não são administradores. Isso ignora as proteções administrativas dentro das funções getAllUsers() e getTotalUsers(), permitindo a recuperação de toda a tabela de usuários. Especificamente, definir isCompany como 0 permite a extração de todos os usuários que não são empresas.
Segundo, o endpoint aceita um parâmetro users id e chama a função getUserFromID() sem realizar qualquer verificação de permissão. Isso cria um oráculo de usuário único, onde um atacante pode verificar a existência de IDs de usuário específicos.
Ambos os caminhos vazam informações sensíveis, incluindo IDs de usuário, nomes de exibição (identification), URLs de canais, fotos de perfil, fundos, status da conta e o número total de contas registradas.
Recomendações Para versões anteriores a 29.1, aplique as seguintes medidas:
  • Implemente a autenticação no início de 'objects/users.json.php' usando User::loginCheck() e restrinja o acesso a usuários com permissões de pesquisa via canSearchUsers().
  • Remova o ramo lógico que define $ignoreAdmin = true com base no parâmetro isCompany.
  • Restrinja o caminho users id para garantir que apenas administradores ou os próprios usuários possam acessar detalhes de registros específicos.
  • Limite o parâmetro rowCount a um valor máximo razoável para evitar a coleta massiva de dados.
  • Remova 'objects/users.json.php' da lista de bypass de CSRF em 'objects/functionsSecurity.php'.

Exploit

Correção

Missing Authentication

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-43881
GHSA-6RVW-7P8V-MJFQ

Produtos afetados

Avideo