CVE-2026-85154: Kritisk adgangsfejl i WWBN AVideo

CVE-2026-85154 er en fejl i rettighedsstyringen i WWBN AVideo, en open source-platform til at dele og streame video. Systemet bruger en værdi kaldet video_id_hash som en slags nøgle, der giver adgang til en videos ejerkonto. Problemet er, at denne nøgle aldrig udløber og aldrig kan tilbagekaldes. Den fungerer som en bærer-token, det vil sige at den, der besidder nøglen, automatisk får fulde administratorrettigheder på kontoen, uden yderligere login. Selv hvis kontoejeren skifter sin adgangskode, bliver den gamle video_id_hash ved med at virke. Får en angriber fat i en enkelt hash-værdi, for eksempel via en delt videolink, logfil eller browserhistorik, kan vedkommende bruge den til at overtage kontoen på ubestemt tid.

Sårbarheden rammer virksomheder og organisationer, der kører WWBN AVideo til intern eller ekstern videodeling, for eksempel kommuner med interne informationsvideoer, uddannelsesinstitutioner eller mediehuse. Alle installationer, hvor video_id_hash bruges til autentificering af kontoejere, er berørt. NVD angiver ingen specifik versionsgrænse, så alle nuværende og tidligere versioner bør betragtes som sårbare, indtil leverandøren udgiver en officiel rettelse.

En angriber, der får fat i en video_id_hash, kan logge ind som videoens ejer med fuld administratoradgang, uden brugernavn eller adgangskode. Det giver mulighed for at ændre eller slette videoindhold, se og ændre kontooplysninger, oprette nye administratorbrugere eller bruge platformen som indgang til resten af netværket. Fordi nøglen ikke udløber eller kan tilbagekaldes ved almindeligt kodeordsskift, kan en kompromitteret hash give en angriber adgang måneder efter det oprindelige lækage, uden at virksomheden opdager det.

CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen brugerinteraktion og kan udføres over netværket med lav teknisk kompleksité. Det eneste, angriberen skal bruge, er en video_id_hash-værdi. Der er ikke rapporteret aktiv udnyttelse eller offentliggjort angrebskode på tidspunktet for offentliggørelsen, men fejlens enkle karakter gør den forholdsvis let at udnytte, hvis en hash først lækkes.

Da der endnu ikke er en officiel rettelse fra WWBN, bør I fokusere på at begrænse eksponeringen af video_id_hash-værdier og adgangen til systemet.

1. Gennemgå, hvor video_id_hash-værdier kan blive eksponeret, for eksempel i delte links, logfiler, e-mails eller browserhistorik, og fjern eller anonymisér disse forekomster.
2. Begræns adgangen til AVideo-installationen til kendte IP-adresser eller via VPN, så eksterne angribere ikke kan udnytte en lækket hash direkte.
3. Overvåg login- og adgangslogs for usædvanlig aktivitet på administratorkonti, især adgang uden forudgående login-forsøg.
4. Kontakt leverandøren eller følg projektets GitHub for information om en kommende opdatering, og planlæg opdatering, så snart den udgives.
5. Overvej midlertidigt at deaktivere deling af videoer via video_id_hash, hvis funktionen ikke er forretningskritisk.
6. Er I i tvivl om, hvordan I begrænser adgangen sikkert, eller om I allerede er berørt, bør I hente ekstern hjælp til en gennemgang af jeres AVideo-opsætning.