„`html
Zusammenfassung
Die Schwachstelle CVE-2026-59256 betrifft WWBN AVideo bis einschließlich Commit 9c39d8c8 und ermöglicht einen Authorization Bypass durch unzureichend validierte Token. Angreifer können ohne Authentifizierung ausgegebene Tokens missbrauchen, um auf geschützte Videoinhalte zuzugreifen. Der CVSS-Score von 7.5 klassifiziert diese als High-Severity-Vulnerability.
Betroffene Systeme
Betroffen sind WWBN AVideo-Installationen bis Commit 9c39d8c8. Die Vulnerability affektiert insbesondere:
- Gallery-Plugin (plugin/Gallery/view/sections.php)
- HLS-Video-Stream-Modul (view/hls.php)
- Weitere Subsysteme, die Token-basierte Autorisierung nutzen
Technische Details
Die Vulnerability basiert auf zwei kritischen Implementierungsfehlern:
1. Unzureichende Token-Generierung: Die getToken()-Funktion erstellt Tokens ohne Bindung an Benutzeridentität oder spezifischen Zweck. Dies ermöglicht die Wiederverwendung von Tokens in verschiedenen Kontexten.
2. UngeschĂĽtzte Token-Ausstellung: Das Gallery-Plugin gibt valid Tokens an unauthentifizierte Besucher aus. Ein Angreifer kann durch einfachen Zugriff auf den Gallery-Endpoint ein gĂĽltiges Token extrahieren.
Angriffsablauf: Der Angreifer ruft plugin/Gallery/view/sections.php auf, erhält ein gültiges Token und nutzt dieses zur Authentifizierung gegen geschützte Ressourcen wie view/hls.php, um auf restricted Video-Content zuzugreifen.
Empfohlene Massnahmen
- Sofortige ĂśberprĂĽfung der Token-Generierungslogik in getToken()
- Implementierung von Benutzer-ID-Binding und Purpose-Scope fĂĽr alle Tokens
- Authentifizierungspflicht vor Token-Ausstellung in Gallery-Endpoints
- Token-Validierung mit Kontext-ĂśberprĂĽfung in allen Verbrauchern (hls.php, etc.)
- Monitoring auf anomale Token-Nutzungsmuster
- Abwarten auf offizielle Security-Patches
Bewertung
Die fehlende Patchverfügbarkeit verschärft die Risikosituation erheblich. Der Network-basierte Angriffsvektor ermöglicht unauthentifizierte Remote-Exploitation. Organisationen sollten kompensatorische Kontrollen umsetzen und IP-basierte Zugriffsbeschränkungen auf kritische Endpoints erwägen, bis ein Patch verfügbar ist.
„`