Vulnerabilidad en WWBN AVideo (CVE-2026-33041)

WWBN AVideo es una plataforma de video de código abierto. En las versiones 25.0 e inferiores, /objects/encryptPass.json.php expone el algoritmo de hash de contraseñas de la aplicación a cualquier usuario no autenticado. Un atacante puede enviar contraseñas arbitrarias y recibir sus equivalentes hasheados, lo que permite el cracking de contraseñas offline contra hashes de bases de datos filtrados. Si un atacante obtiene hashes de contraseñas de la base de datos (mediante inyección SQL, exposición de copias de seguridad, etc.), puede descifrarlos instantáneamente comparándolos con hashes precalculados de este endpoint. Este endpoint elimina la necesidad de que un atacante realice ingeniería inversa del algoritmo de hash. Combinado con la débil cadena de hash (md5+whirlpool+sha1, sin salt por defecto), un atacante con acceso a los hashes de la base de datos puede descifrar contraseñas extremadamente rápido. Este problema se solucionó en la versión 26.0.