CVE-2026-92913

AVideo, c3edcc274c389816d434acadac07ee78eaf330c1 commit'ine kadar olan sürümlerde hesap aktivasyon / giriş eşleştirme kodları oluştururken kriptografik olarak zayıf bir sözde rastgele sayı üreteci kullanmaktadır. objects/functions.php dosyasındaki getRandomCode() fonksiyonu, kodu tamamen uniqid()'den (sprintf('%08x%05x', seconds, microseconds)) türetmekte ve dolgu olarak yalnızca tek bir CSPRNG olmayan rand() karakteri kullanmaktadır; bu durum, bilinen bir üretim saniyesi için kod alanını yaklaşık 36 x 10^6 (~2^25) değere düşürmektedir. plugin/API/set.json.php?APIName=login_code adresi kimlik doğrulaması olmadan çağrılabildiği için sunucunun kesin mikro zamanı (microtime) için bir oracle görevi görmektedir. Geçerli ve süresi dolmamış bir kodu (kodların süresi 10 dakika sonra dolar) tahmin eden kimlik doğrulanmamış uzaktan bir saldırgan, hedef hesabın e-posta adresini ve bir yıl boyunca hesap şifresinin yerine kabul edilen bir kimlik bilgisi olan User::getUserHash(users_id, '+1 year') değerini elde etmek için bu kodu plugin/API/get.json.php?APIName=login_code üzerinden kullanabilir, bu da hesap ele geçirme ile sonuçlanır. Yama uygulanmış bir sürüm mevcut değildir.