CVE-2026-33037

WWBN AVideo açık kaynaklı bir video platformudur. 25.0 ve altı sürümlerde, resmi Docker dağıtım dosyaları (docker-compose.yml, env.example), yönetici şifresi "password" olarak ayarlanmış şekilde sunulmaktadır; bu şifre kurulum sırasında yönetici hesabını oluşturmak için otomatik olarak kullanılır, bu da SYSTEM_ADMIN_PASSWORD değerini değiştirmeden dağıtılan herhangi bir örneğin basit bir yönetici ele geçirme işlemine karşı anında savunmasız olduğu anlamına gelir. Herhangi bir telafi edici kontrol bulunmamaktadır: ilk girişte zorunlu şifre değişikliği, karmaşıklık doğrulaması veya varsayılan şifre algılama özelliği yoktur ve şifre zayıf MD5 ile özetlenmiştir. Tam yönetici erişimi; kullanıcı verilerinin ifşasına, içerik manipülasyonuna ve dosya yüklemeleri ile eklenti yönetimi aracılığıyla potansiyel uzaktan kod çalıştırmaya olanak tanır. Aynı güvensiz varsayılan kalıbı veri tabanı kimlik bilgileri (avideo/avideo) için de geçerli olup riski artırmaktadır. İstismar, operatörlerin varsayılan değerleri değiştirmemesine bağlıdır ve bu durum hızlı başlatma, demo ve otomatik dağıtımlarda muhtemelen karşılaşılan bir koşuldur. Bu sorun 26.0 sürümünde düzeltilmiştir.