CVE-2023-49599
Publiée le 2024-01-10 · Dernière modification le 2026-06-17
AVideo (dev master commit 15fed957fb) est affecté par une faille dans la manière dont il génère les valeurs aléatoires pour le sel des mots de passe. Un attaquant non authentifié disposant d'un accès réseau peut envoyer une série de requêtes HTTP pour collecter des données système, casser le sel hors ligne et forger un code de récupération de mot de passe pour prendre le contrôle du compte administrateur. Cette attaque est relativement simple car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An insufficient entropy vulnerability exists in the salt generation functionality of WWBN AVideo dev master commit 15fed957fb. A specially crafted series of HTTP requests can lead to privilege escalation. An attacker can gather system information via HTTP requests and brute force the salt offline, leading to forging a legitimate password recovery code for the admin user.