CVE-2026-86190: Kritisk datalæk i WWBN AVideo
WWBN AVideo lækker adgangskoder og sessions-id’er uden login (CVE-2026-86190). Afskærm systemet fra internettet og vent på en rettelse.
Hvad er det?
CVE-2026-86190 er en fejl i adgangskontrollen i videoplatformen WWBN AVideo. Fejlen sidder i endepunkterne omkring videoViewsInfo, som er de dele af systemet, der leverer statistik om, hvem der har set en video. Sender man et bestemt hash-parameter med i kaldet, udleverer systemet komplette brugeroplysninger til hvem som helst, uden at man skal logge ind først. Det drejer sig blandt andet om adgangskoder i krypteret form, gendannelsestokens til nulstilling af adgangskode og id’er på aktive brugersessioner. Fejltypen kaldes information disclosure, altså utilsigtet offentliggørelse af oplysninger, og er registreret som CWE-200.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører WWBN AVideo, uanset om platformen bruges til intern videodeling, kursusmateriale eller offentligt tilgængeligt indhold. Alle installationer, hvor endepunkterne omkring videoViewsInfo er tilgængelige fra internettet, er berørte, da NVD ikke angiver en rettet version.
Hvad kan ske?
En angriber kan hente adgangskode-hash, gendannelsestokens og sessions-id’er for alle brugere, herunder administratorer. Med et gyldigt sessions-id kan angriberen overtage en aktiv session og logge ind som den pågældende bruger uden at kende adgangskoden. For en dansk virksomhed betyder det, at en administratorkonto kan overtages, og at personoplysninger om alle, der har set en video, bliver eksponeret. Det kan udløse en anmeldelsespligtig sikkerhedshændelse efter databeskyttelsesforordningen.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen handling fra brugeren og kan udføres over netværket med lav kompleksitet. Konsekvensen er høj for fortrolighed og integritet, mens tilgængeligheden ikke påvirkes direkte, altså rammer det ikke driften, men datasikkerheden. Der er ingen offentlige oplysninger om, at sårbarheden aktivt udnyttes eller at der findes en offentligt kendt udnyttelseskode.
Hvad gør jeg nu?
Prioritér følgende, indtil en officiel rettelse foreligger:
- Afskær adgang til videoViewsInfo-endepunkterne fra internettet, for eksempel via firewall-regler eller adgangsbegrænsning på webserveren, så kun betroede net kan tilgå dem.
- Gennemtving nulstilling af alle adgangskoder og ugyldiggør alle aktive sessioner på AVideo-installationen.
- Gennemgå logfiler for usædvanlige kald til videoViewsInfo med hash-parameter for at afgøre, om data allerede er blevet hentet af uvedkommende.
- Følg WWBN’s officielle kanaler for en sikkerhedsopdatering og opdatér, så snart den er tilgængelig.
- Vurdér, om hændelsen skal anmeldes til Datatilsynet, hvis der er tegn på, at personoplysninger er blevet tilgået.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan afskærme systemet eller vurdere omfanget af et muligt datatab.
Afskærm systemet nu, opdatér ved rettelse
Vi anbefaler, at I straks lukker offentlig adgang til de berørte endepunkter og nulstiller alle adgangskoder og sessioner, da fejlen ikke kræver login at udnytte. Det er ikke forsvarligt at vente til en officiel opdatering, da eksponeringen af adgangskoder og sessions-id’er kan udnyttes med det samme. I kan vente med selve softwareopdateringen, når systemet er afskærmet fra internettet, men bør holde øje med WWBN’s meddelelser om en rettelse.
Tidslinje
Konkrete eksempler
Intern kursusplatform hos en dansk virksomhed
En mellemstor virksomhed bruger WWBN AVideo til at dele interne kursusvideoer med medarbejderne. En ekstern part finder frem til hash-parameteren og henter administratorens sessions-id, logger ind som administrator og får adgang til alle medarbejderes adgangskode-hash og personoplysninger. Virksomheden opdager først hændelsen, da IT-afdelingen gennemgår logfiler efter denne sikkerhedsmeddelelse.
Ofte stillede spørgsmål
Bruger vi en sårbar version af WWBN AVideo?
NVD angiver ikke en specifik rettet version, så I bør antage, at alle aktuelle installationer af WWBN AVideo er berørte, indtil andet er oplyst af leverandøren.
Hvordan tjekker vi, om vi er ramt?
Gennemgå adgangslogs for webserveren for kald til videoViewsInfo-endepunkter med et hash-parameter, særligt fra ukendte eller udenlandske IP-adresser uden forudgående login.
Kan vi vente til weekenden med at gøre noget?
Nej. Fejlen kan udnyttes uden login og uden brugerhandling, så adgangskoder og sessioner bør beskyttes med det samme, uanset ugedag.
Skal vi anmelde hændelsen til Datatilsynet?
Hvis logfiler viser, at endepunktet er blevet kaldt af uvedkommende, og personoplysninger dermed kan være kompromitteret, skal I vurdere anmeldepligt efter databeskyttelsesforordningen.
Er der en officiel rettelse fra WWBN?
Der er ingen oplysninger om en udgivet rettelse på offentliggørelsestidspunktet. Følg leverandørens kanaler og opdatér, så snart en rettelse foreligger.
Rammer det kun administratorer?
Nej. Både administratorkonti og almindelige brugerkonti, herunder dem der blot har set en video, kan få deres oplysninger og sessioner eksponeret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
WWBN AVideo contains a broken access control vulnerability in videoViewsInfo endpoints that returns complete user records including password hashes, recovery tokens, and live session identifiers to unauthenticated callers when a hash parameter is provided. Attackers can use the disclosed session identifier to hijack viewer sessions, including administrator accounts, and obtain sensitive personal data for all video viewers.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.