CVE-2026-33731

WWBN AVideo açık kaynaklı bir video platformudur. 29.0 öncesindeki sürümlerde, plugin/AuthorizeNet/webhook.php konumundaki Authorize.Net webhook işleyicisi, bir saldırganın rastgele ödeme tutarları ve hedef kullanıcı kimlikleri ile sahte webhook istekleri oluşturmasına izin veren bir imza doğrulama atlatma açığı içermektedir. Küçük ve meşru bir satın alımdan elde edilen geçerli bir işlem kimliği sağlayarak, saldırgan imza doğrulamasını atlatır ve saldırgan tarafından kontrol edilen yük (payload) alanları aracılığıyla herhangi bir kullanıcı hesabına rastgele cüzdan bakiyeleri tanımlayabilir. Üç hata birleşerek bir istismar zinciri oluşturur: OR mantığı üzerinden imza atlatma (webhook.php:33), yük değerlerinin API'den alınan değerlerin üzerine yazılması (AuthorizeNet.php:169-171, webhook.php:44-48) ve eksik onay kontrolü (webhook.php:61-75). Ödeme meta verilerini taklit ederek, bir saldırgan karşılık gelen bir ödeme olmaksızın herhangi bir kullanıcının cüzdanına rastgele miktarlarda kredi tanımlayabilir ve premium abonelikleri etkinleştirmek için bir plans_id ekleyebilir (webhook.php:86-134); bu durum tüm ücretli ve premium içeriğe ücretsiz erişim sağlar ve platform sahibine doğrudan gelir kaybına neden olur. Bu sorun 29.0 sürümünde düzeltilmiştir.