CVE-2026-33731

WWBN AVideo açıq mənbəli video platformadır. 29.0 versiyasından əvvəlki versiyalarda, plugin/AuthorizeNet/webhook.php ünvanındakı Authorize.Net webhook idarəedicisi, hücum edənə ixtiyari ödəniş məbləğləri və hədəf istifadəçi ID-ləri ilə saxta webhook sorğuları göndərməyə imkan verən imza yoxlamasından yan keçmə boşluğu ehtiva edir. Kiçik miqdarlı qanuni alışdan əldə edilmiş etibarlı tranzaksiya ID-sini təqdim etməklə, hücum edən imza təsdiqləməsini yan keçir və hücum edən tərəfindən idarə olunan faydalı yük (payload) sahələri vasitəsilə istənilən istifadəçi hesabının pul kisəsi balansına ixtiyari vəsait yükləyir. Üç çatışmazlıq bir eksployt zəncirinə çevrilir: OR məntiqi vasitəsilə imzadan yan keçmə (webhook.php:33), faydalı yük dəyərlərinin API-dən alınan dəyərləri əvəz etməsi (AuthorizeNet.php:169-171, webhook.php:44-48) və təsdiq yoxlamasının olmaması (webhook.php:61-75). Ödəniş metadata-sını saxtalaşdıraraq, hücum edən müvafiq ödəniş olmadan istənilən istifadəçinin pul kisəsinə ixtiyari məbləğlər yükləyə və premium abunəlikləri aktivləşdirmək üçün plans_id daxil edə bilər (webhook.php:86-134), bu da bütün ödənişli və premium kontentə pulsuz giriş imkanı yaradaraq platforma sahibinə birbaşa gəlir itkisinə səbəb olur. Bu problem 29.0 versiyasında düzəldilmişdir.