CVE-2026-90537: отсутствие авторизации в планировщике WWBN AVideo раскрывает данные и рассылки
В WWBN AVideo обнаружена уязвимость отсутствия авторизации в компоненте Scheduler, позволяющая неаутентифицированному атакующему получить доступ к заданиям рассылки электронной почты. Для эксплуатации достаточно общесайтового ежедневного токена, который можно получить со страниц Live. Проблема оценена как HIGH с CVSS 8.8.
Подробности
Уязвимость затрагивает код проекта WWBN AVideo вплоть до коммита c3edcc274c389816d434acadac07ee78eaf330c1. Ошибка находится в файле plugin/Scheduler/sendEmail.json.php. Суть проблемы — отсутствие проверки авторизации при обращении к обработчику заданий рассылки электронной почты. Неаутентифицированный атакующий может получить доступ к заданиям планировщика, предъявив общесайтовый ежедневный токен (site-wide daily token). Такой токен не является секретом уровня учётной записи и может быть получен со страниц Live, что существенно снижает сложность эксплуатации. Последствия успешной атаки включают: - перечисление (enumeration) заданий планировщика; - чтение приватных данных, включая названия трансляций Live и адреса электронной почты; - инициирование отправки писем путём передачи любого действительного ежедневного токена. Уязвимости присвоена оценка CVSS 8.8 (HIGH), что отражает высокий риск раскрытия конфиденциальных данных и возможность воздействия на механизм рассылок без предварительной аутентификации.Что делать
Основная рекомендация — обновить WWBN AVideo до версии, содержащей исправление данной уязвимости, либо до актуального состояния репозитория после коммита c3edcc274c389816d434acadac07ee78eaf330c1. Следует уточнить наличие патча у мейнтейнеров проекта и проверить применимость исправления к используемой сборке. Если обновление невозможно в короткие сроки, рекомендуется рассмотреть временные компенсирующие меры: - ограничить доступ к файлу plugin/Scheduler/sendEmail.json.php на уровне веб-сервера или обратного прокси (запрет для недоверенных источников, ограничение по IP); - отказаться от использования общесайтовых ежедневных токенов как единственного средства доступа к чувствительным эндпоинтам, заменив их на проверку аутентификации и прав пользователя; - провести ревизию журналов доступа к Scheduler на предмет подозрительных обращений и попыток перечисления заданий; - проверить, не происходило ли несанкционированное инициирование рассылок, и при необходимости уведомить затронутых пользователей. Также стоит ограничить публичную доступность данных, содержащих адреса электронной почты и названия приватных трансляций, чтобы снизить ущерб при возможной эксплуатации.Итог
CVE-2026-90537 — серьёзная уязвимость отсутствия авторизации в WWBN AVideo, позволяющая неаутентифицированному атакующему при наличии ежедневного токена читать чувствительные данные планировщика и инициировать отправку писем. Учитывая высокую оценку CVSS 8.8, администраторам платформы следует как можно скорее применить обновление или временно ограничить доступ к уязвимому эндпоинту.Источник: CVE Project (cvelistV5)