Descripción
WWBN AVideo 6.5 a 29.7.1 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados iniciar sesión como cualquier usuario mediante los nombres para mostrar del inicio de sesión social de Hybridauth. Los atacantes pueden establecer su nombre para mostrar de X, Facebook, Yahoo o LinkedIn con el nombre de usuario de la víctima y omitir el correo electrónico, lo que provoca que login.json.php u oauth2.php inicien su sesión en esa cuenta, incluidas las de administradores, sin contraseña.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- AVideo Afectadas: 6.5 a 29.7.1
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/WWBN/AVideo/security/advisories/GHSA-9rvm-cfc4-q9g9
- Parchegithub.com/WWBN/AVideo/commit/d34ccf23b37a127a68478d66ac00b450b5788bad
- Referencia en github.comgithub.com/WWBN/AVideo/blob/v29.7.1/objects/login.json.php
- Referencia en github.comgithub.com/WWBN/AVideo/blob/v29.7.1/plugin/MobileManager/oauth2.php
- Aviso de vulncheck.comvulncheck.com/advisories/wwbn-avideo-6.5-through-29.7.1-authenticatio…
Ver el texto original en inglés (CVE.org)
WWBN AVideo 6.5 through 29.7.1 Authentication Bypass via Hybridauth Social Login
WWBN AVideo 6.5 through 29.7.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to log in as any user via Hybridauth social login display names. Attackers can set their X, Facebook, Yahoo or LinkedIn display name to a victim's username and withhold email, causing login.json.php or oauth2.php to log them in as that account, including administrators, without a password.