CVE-2026-84480: Kritisk fejl i WWBN AVideo password-reset
WWBN AVideo validerer ikke udløb på gendannelsestokens til adgangskoder. Angribere kan bruge en gammel token til at overtage konti. Opdatér eller deaktiver funktionen nu.
Hvad er det?
CVE-2026-84480 er en fejl i videoplatformen WWBN AVideo, hvor filen userRecoverPassSave.json.php ikke kontrollerer, om en gendannelsestoken (den kode, der sendes i et link, når en bruger har bedt om at få nulstillet sin adgangskode) stadig er gyldig. Normalt udløber sådan en kode efter kort tid. Her kan den bruges igen og igen, uden tidsbegrænsning. Fejlen er registreret som CWE-613, insufficient session expiration, som betyder, at systemet ikke fjerner gyldigheden af midlertidige koder, når de burde være brugt op. Konsekvensen er, at enhver, der på et tidspunkt har haft adgang til en gendannelseskode, kan bruge den permanent til at ændre adgangskoden på den tilhørende konto, uden at logge ind først.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der kører WWBN AVideo som platform for video, streaming eller kursusmateriale, uanset om det er internt eller udadvendt. NVD-data angiver ikke konkrete versionsnumre for de ramte udgaver. Er I i tvivl om jeres version er berørt, bør I sammenholde jeres installation med den nyeste udgivelse fra WWBN AVideo og kontrollere, om fejlen i userRecoverPassSave.json.php er rettet der.
Hvad kan ske?
En angriber, der på et tidspunkt har fået fat i en gendannelsestoken, fx fra en gammel e-mail, en logfil, et delt link eller en aflyttet netværksforbindelse, kan bruge den til at nulstille adgangskoden på den tilhørende konto uden at kende den nuværende adgangskode. Rammer det en administratorkonto, får angriberen fuld kontrol over platformen: adgang til brugerdata, mulighed for at uploade eller slette videoindhold og adgang til eventuelle personoplysninger i systemet. For en dansk virksomhed betyder det risiko for datalæk og potentielt en meddelelsespligtig sikkerhedsbrist.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login, ingen brugerhandling fra offeret og kan udføres over netværket med lav teknisk kompleksitet. Det eneste, angriberen behøver, er adgang til en tidligere udstedt gendannelsestoken. NVD-data indeholder ingen oplysninger om, at fejlen aktivt udnyttes, men den lave angrebskompleksitet og det manglende krav om autentificering gør den attraktiv for angribere, så snart teknikken bliver kendt.
Hvad gør jeg nu?
Følgende skridt bør gennemføres i denne rækkefølge:
- Opdatér WWBN AVideo til den nyeste udgivelse, hvor validering af tokenudløb er rettet. Det lukker hullet direkte.
- Kan I ikke opdatere med det samme, så deaktiver eller begræns funktionen til nulstilling af adgangskode midlertidigt, eller kræv manuel bekræftelse fra en administrator ved nulstilling.
- Gennemgå logfiler for kald til userRecoverPassSave.json.php og se efter mønstre, der peger på misbrug af gamle tokens.
- Tvangsnulstil adgangskoder for alle brugere, særligt administratorkonti, og annullér aktive sessioner efter opdateringen.
- Indfør overvågning af login- og adgangskodeskift-hændelser, så gentagelser opdages hurtigt.
- Er I i tvivl om, hvorvidt jeres installation stadig er sårbar, eller om I er blevet udnyttet, bør I få en ekstern sikkerhedspartner til at gennemgå logs og konfiguration.
Luk hullet inden for få dage
Vi anbefaler, at I opdaterer WWBN AVideo til en version, hvor tokenudløb valideres korrekt, så snart den er tilgængelig, og at I i mellemtiden begrænser adgangen til funktionen for nulstilling af adgangskode. Det er kun forsvarligt at vente, hvis platformen ikke er tilgængelig fra internettet og kun bruges af et lille, betroet antal medarbejdere. Er AVideo eksponeret offentligt, bør I behandle dette som en akut opgave og ikke lade det ligge til næste opdateringsrunde.
Tidslinje
Konkrete eksempler
Kursusplatform hos en dansk kommune
En kommune bruger WWBN AVideo til at dele interne undervisningsvideoer for medarbejdere. En medarbejder anmoder om nulstilling af adgangskode fra en delt computer, og linket bliver liggende i et fælles indbakke-arkiv. Måneder senere finder en tidligere medarbejder linket og bruger den stadig gyldige token til at nulstille adgangskoden og logge ind som administrator, uden at systemet reagerer.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores AVideo-installation er ramt?
Tjek jeres nuværende version mod ændringslisten hos WWBN AVideo, og se om fejlen i userRecoverPassSave.json.php er nævnt som rettet. Er I i tvivl, kan I bede jeres it-leverandør eller en sikkerhedskonsulent om at gennemgå koden eller logfilerne for jer.
Kan vi vente til weekenden med at opdatere?
Er platformen tilgængelig fra internettet, bør I ikke vente. Angrebet kræver ingen login og kan udføres af enhver, der har fanget en gendannelseskode. Er systemet kun tilgængeligt internt for et fåtal betroede medarbejdere, kan I vente kortvarigt, mens I planlægger opdateringen.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Deaktiver funktionen til nulstilling af adgangskode, eller kræv at en administrator manuelt bekræfter alle nulstillinger, indtil opdateringen er gennemført. Det fjerner ikke fejlen, men lukker den letteste vej ind.
Skal vi anmelde dette som en sikkerhedsbrist?
Kun hvis I har konkret indikation på, at en konto faktisk er overtaget og personoplysninger er kompromitteret. Find spor i logfilerne først, og vurder derefter sammen med jeres databeskyttelsesrådgiver, om det udløser anmeldelsespligt.
Er det kun administratorkonti, der er i fare?
Nej. Alle konti med en tidligere udstedt gendannelsestoken kan overtages, men rammer det en administratorkonto, er skaden størst, fordi angriberen får fuld kontrol over platformen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
WWBN AVideo fails to validate password recovery token expiration in userRecoverPassSave.json.php, allowing attackers to use expired tokens to reset account passwords indefinitely. Attackers who obtain a recovery token can use it at any time to change the target account’s password and gain full account access.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.