AVideo tem Armazenamento de Senha de Vídeo em Texto Simples

A vulnerabilidade CVE-2026-33867 no AVideo expõe os vídeos protegidos por senha a um risco significativo. O sistema armazena as senhas dos vídeos diretamente no banco de dados, sem aplicar qualquer tipo de criptografia, hash ou sal. Isso significa que, se um atacante obtiver acesso ao banco de dados – seja por injeção SQL, um backup comprometido ou controles de acesso mal configurados – ele poderá recuperar todas as senhas dos vídeos em texto simples. O impacto é grave, permitindo o acesso não autorizado ao conteúdo protegido, comprometendo a privacidade e a segurança dos usuários e criadores de conteúdo. A falta de um patch disponível agrava a situação, exigindo medidas de mitigação imediatas.

Content owners and platforms utilizing wwbn/avideo to manage and protect video content are at significant risk. Specifically, those relying on the default password protection mechanism without implementing additional security measures are most vulnerable. Shared hosting environments where multiple users share a database are also at increased risk.

• php: Examine the objects/video.php file for the vulnerable setVideo_password function. Search database tables for plaintext video password storage.

grep -r 'video_password' /path/to/avideo/objects/

• database (mysql): Query the database to check for plaintext video passwords.

SELECT video_password FROM videos WHERE video_password IS NOT NULL AND video_password != '';

• generic web: Monitor database access logs for unusual activity or unauthorized access attempts.

1. 2026-03-26Disclosure

   disclosure

1. Reservado2026-03-24
2. Publicada2026-03-26
3. Modificada2026-03-27
4. EPSS atualizado2026-04-04

Diante da ausência de um patch oficial para CVE-2026-33867, a mitigação imediata se concentra em proteger o banco de dados do AVideo. Recomenda-se fortemente restringir o acesso ao banco de dados, implementando controles de acesso rigorosos e revisando as configurações de segurança para evitar vulnerabilidades como injeção SQL. Auditar regularmente os backups do banco de dados e garantir que estejam protegidos contra acessos não autorizados é crucial. Considerar a migração para uma solução de gerenciamento de vídeo que implemente o armazenamento seguro de senhas (criptografia, hash com sal) é uma solução de longo prazo. Monitorar a atividade do banco de dados em busca de acessos suspeitos também é uma prática recomendada.

Última atualização

29.0recentemente