CVE-2026-33041

WWBN AVideo açıq mənbəli video platformadır. 25.0 və daha aşağı versiyalarda `/objects/encryptPass.json.php` faylı tətbiqin parol həşləmə alqoritmini hər hansı autentifikasiya olunmamış istifadəçiyə açıqlayır. Hücumçu ixtiyari parollar göndərə və onların həşlənmiş ekvivalentlərini ala bilər ki, bu da sızdırılmış verilənlər bazası həşlərinə qarşı oflayn parol qırmaq imkanı yaradır. Əgər hücumçu verilənlər bazasından parol həşlərini əldə edərsə (SQL inyeksiyası, ehtiyat nüsxələrin ifşası və s. vasitəsilə), onları bu son nöqtədən (endpoint) əvvəlcədən hesablanmış həşlərlə müqayisə etməklə dərhal qıra bilər. Bu son nöqtə hücumçunun həşləmə alqoritmini tərs mühəndislik yolu ilə analiz etmək ehtiyacını aradan qaldırır. Zəif həş zənciri (defolt olaraq duzsuz md5+whirlpool+sha1) ilə birlikdə, verilənlər bazasının həşlərinə çıxışı olan hücumçu parolları olduqca sürətlə qıra bilər. Bu problem 26.0 versiyasında düzəldilmişdir.