目標達成 すべての支援者に感謝 — 100%達成しました！

目標: 1000 CNY · 調達済み: 1336 CNY

100%
コーヒーを一杯おごる

CVE-2026-39366— WWBN AVideo 数据伪造问题漏洞

CVSS 6.5 · Medium EPSS 0.17% · P7

Possible ATT&CK Techniques 1AI

T1190 · Exploit Public-Facing Application
新しい脆弱性情報の通知を購読するログインして購読

I. CVE-2026-39366の基本情報

脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗

高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。

脆弱性タイトル
WWBN AVideo Affected by a PayPal IPN Replay Attack Enabling Wallet Balance Inflation via Missing Transaction Deduplication in ipn.php
ソース: CVE Program / CVE List V5
脆弱性説明
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the PayPal IPN v1 handler at plugin/PayPalYPT/ipn.php lacks transaction deduplication, allowing an attacker to replay a single legitimate IPN notification to repeatedly inflate their wallet balance and renew subscriptions. The newer ipnV2.php and webhook.php handlers correctly deduplicate via PayPalYPT_log entries, but the v1 handler was never updated and remains actively referenced as the notify_url for billing plans.
ソース: CVE Program / CVE List V5
CVSS情報
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
ソース: CVE Program / CVE List V5
脆弱性タイプ
对数据真实性的验证不充分
ソース: CVE Program / CVE List V5
脆弱性タイトル
WWBN AVideo 数据伪造问题漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
WWBN AVideo是WWBN团队的一个由PHP编写的视频平台建站系统。 WWBN AVideo 26.0及之前版本存在数据伪造问题漏洞，该漏洞源于PayPal IPN v1处理程序缺少交易去重，可能导致攻击者重放通知以重复增加余额。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)

影響を受ける製品

ベンダープロダクト影響を受けるバージョンCPE購読
WWBNAVideo <= 26.0 -

II. CVE-2026-39366の公開POC

#POC説明ソースリンクShenlongリンク
AI生成POCプレミアム

公開POCは見つかりませんでした。

ログインしてAI POCを生成

III. CVE-2026-39366のインテリジェンス情報

请登录查看更多情报信息。

CVE-2026-39366 补丁与修复 (1)

CVE-2026-39366 厂商安全公告 (1)

Same Patch Batch · WWBN · 2026-04-07 · 5 CVEs total

CVE-2026-393697.6 HIGHWWBN AVideo's GIF poster fetch bypasses traversal scrubbing and exposes local files throug
CVE-2026-393707.1 HIGHWWBN AVideo has an Allowlisted downloadURL media extensions bypass SSRF protection and en
CVE-2026-393686.5 MEDIUMWWBN AVideo has a Live restream log callback flow enabling stored SSRF to internal service
CVE-2026-393675.4 MEDIUMWWBN AVideo has Stored XSS via Malicious EPG XML Program Titles in AVideo EPG Page

IV. 関連脆弱性

同じ製品: AVideo
同じベンダー: WWBN
同じ弱点: CWE-345

V. CVE-2026-39366へのコメント

まだコメントはありません

コメントを残す