CVE-2026-84479
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.3%
- CWE
- CWE-290
- KEV Durumu
- Hayır
Yayım tarihi: 1 Eylül 2026
WWBN AVideo (mevcut e01e41ecc ve önceki sürümler), üç oturum açma zamanı güvenlik kontrolünü salt client tarafından sağlanan User-Agent başlığına bağlı kılar. isAVideoEncoder()/isAVideoMobileApp() kontrolleri, HTTP_USER_AGENT'ı sabit bir literal ("AVideoEncoder"/"AVideoMobileApp") ile eşleştirmekte ve IP kontrolü veya paylaşılan sır bulunmamaktadır. Geçerli kimlik bilgileri sunan ve User-Agent: AVideoEncoder olarak ayarlayan bir saldırgan, iki faktörlü kimlik doğrulamasını atlar, brute-force captcha artırımını atlar ve oturum açma/cihaz denetim geçmişine kaydedilmez. Yayın anında bir yama mevcut değildir.
Orijinal açıklama (İngilizce)
WWBN AVideo (current e01e41ecc and earlier) makes three login-time security controls depend solely on the client-supplied User-Agent header. The isAVideoEncoder()/isAVideoMobileApp() checks match HTTP_USER_AGENT against a hardcoded literal ("AVideoEncoder"/"AVideoMobileApp") with no IP check or shared secret. An attacker who submits valid credentials and sets User-Agent: AVideoEncoder bypasses two-factor authentication, skips brute-force captcha escalation, and avoids being recorded in the login/device audit history. No patch is available at the time of publication.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.