WWBN AVideo
WWBN AVideo: accesso come qualsiasi utente, anche admin, tramite login social
Il problema, secondo i dati ufficiali
- Una falla di bypass dell'autenticazione nel login social Hybridauth permette di entrare come qualsiasi utente, amministratori inclusi, senza conoscere la password.
- L'attaccante imposta il proprio nome visualizzato su X, Facebook, Yahoo o LinkedIn uguale al nome utente della vittima e non fornisce l'email. A quel punto login.json.php o oauth2.php lo collegano all'account della vittima.
- Può sfruttarla un attaccante da rete, senza bisogno di un account sul sito.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- AVideo: dalla 6.5 alla 29.7.1 inclusa
Fonti ufficiali
- github.com — avviso del produttore
- github.com — patch
- github.com — riferimento
- github.com — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
WWBN AVideo 6.5 through 29.7.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to log in as any user via Hybridauth social login display names. Attackers can set their X, Facebook, Yahoo or LinkedIn display name to a victim's username and withhold email, causing login.json.php or oauth2.php to log them in as that account, including administrators, without a password.
Non sai se ti riguarda?
Se usi WWBN AVideo e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.