CVE-2026-33041

WWBN AVideo açık kaynaklı bir video platformudur. 25.0 ve altı sürümlerde, /objects/encryptPass.json.php uygulamadaki parola özetleme algoritmasını kimliği doğrulanmamış herhangi bir kullanıcıya ifşa etmektedir. Bir saldırgan rastgele parolalar gönderip bunların özetlenmiş karşılıklarını alabilir; bu durum sızdırılan veritabanı özetlerine karşı çevrimdışı parola kırmayı mümkün kılar. Eğer bir saldırgan veritabanından parola özetlerini elde ederse (SQL injection, yedeklerin ifşası vb. yoluyla), bu uç noktadan önceden hesaplanmış özetlerle karşılaştırma yaparak bunları anında kırabilir. Bu uç nokta, saldırganın özetleme algoritmasını tersine mühendislik ile çözme ihtiyacını ortadan kaldırır. Zayıf özet zinciriyle (varsayılan olarak tuzlama olmadan md5+whirlpool+sha1) birleştiğinde, veritabanı özetlerine erişimi olan bir saldırgan parolaları son derece hızlı bir şekilde kırabilir. Bu sorun 26.0 sürümünde düzeltilmiştir.