CVE-2026-33037

WWBN AVideo açıq mənbəli video platformadır. 25.0 və daha aşağı versiyalarda rəsmi Docker tətbiqi faylları (docker-compose.yml, env.example) admin şifrəsi "password" olaraq təyin edilmiş şəkildə təqdim olunur və bu şifrə quraşdırma zamanı admin hesabının yaradılması üçün avtomatik istifadə edilir. Bu o deməkdir ki, SYSTEM_ADMIN_PASSWORD dəyişdirilmədən tətbiq edilən hər hansı nümunə dərhal sadə administrativ ələ keçirməyə qarşı həssasdır. Heç bir kompensasiya edici nəzarət mexanizmi mövcud deyil: ilk girişdə şifrənin dəyişdirilməsi məcburi deyildir, mürəkkəblik yoxlaması və standart şifrə aşkarlanması yoxdur, həmçinin şifrə zəif MD5 ilə heşlənmişdir. Tam admin girişi istifadəçi məlumatlarının ifşasına, məzmunun manipulyasiyasına və fayl yükləmələri və plagin idarəetməsi vasitəsilə potensial uzaqdan kodun icrasına imkan verir. Eyni təhlükəli standart parametr modeli verilənlər bazası etibarlılığına (avideo/avideo) da şamil edilir və riski artırır. İstismar operatorların standart şifrəni dəyişməməsindən asılıdır ki, bu hal sürətli başladma, demo və avtomatlaşdırılmış tətbiqlərdə çox rast gəlinir. Bu problem 26.0 versiyasında düzəldilmişdir.