AVideoに認証回避の脆弱性、修正コミットが公開
Summary
AVideo 6.5から29.7.1までに、SNSの表示名を偽るだけで管理者を含む任意のアカウントに入られる脆弱性があります。ソーシャルログインを有効にしているサイトは、版を確認して修正を取り込み、難しければ該当プラグインを止めてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
AVideo 6.5から29.7.1までに、SNSの表示名を偽るだけで管理者を含む任意のアカウントに入られる脆弱性があります。ソーシャルログインを有効にしているサイトは、版を確認して修正を取り込み、難しければ該当プラグインを止めてください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| WWBNAVideo |
6.5 – 29.7.1→ Not listed |
Not listed |
This record does not list fixed versions. Check the article or the vendor advisory in the references for whether and where it is fixed.
Original description The description as published by the source.
WWBN AVideo 6.5 through 29.7.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to log in as any user via Hybridauth social login display names. Attackers can set their X, Facebook, Yahoo or LinkedIn display name to a victim's username and withhold email, causing login.json.php or oauth2.php to log them in as that account, including administrators, without a password.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- web github.com
- web github.com
- web github.com