CVE-2026-82645: Vulnerabilidad crítica en AVideo expone credenciales de streaming

🚨 Alerta crítica: CVE-2026-82645 afecta a AVideo (WWBN) y permite la divulgación de credenciales de streaming sin autenticación. La vulnerabilidad tiene una puntuación CVSS 4.0 de 9.2 y fue publicada el 30 de agosto de 2026.

Cadena de riesgo y respuesta para CVE-2026-82645

Resumen ejecutivo

Campo	Detalle
CVE	CVE-2026-82645
Fabricante	WWBN
Producto	AVideo
Fecha de publicación	2026-08-30
Severidad	CRITICAL
CVSS 4.0	9.2 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/…)
Puntuación de prioridad (RyzerBot)	185
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Qué es la vulnerabilidad

La vulnerabilidad reside en el endpoint plugin/Live/view/Live_restreams/getLiveKey.json.php de AVideo (commit e01e41ecc y anteriores). Al suministrar un parámetro token, se omiten los controles de acceso Live::canRestream() y la verificación de propiedad del restream, devolviendo la stream_key y la stream_url de cualquier restream. Estas credenciales permiten publicar en plataformas externas como YouTube, Facebook y Twitch.

El token no está vinculado a un usuario, no tiene expiración ni etiqueta de autenticación (MAC). La cifrado utiliza AES-256-CBC con un IV determinista y sin MAC. Además, intval() acepta cualquier cadena que comience por un dígito, lo que permite a un atacante no autenticado forjar tokens válidos usando el oráculo de cifrado público expuesto en view/url2Embed.json.php.

En términos de CWE, se clasifica como CWE-347: Improper Verification of Cryptographic Signature.

Productos y versiones vulnerables

Según las fuentes oficiales (CVE.org y NVD), el producto afectado es AVideo del fabricante WWBN. No se han publicado versiones específicas ni rangos de versiones afectadas en los avisos consultados.

Fabricante	Producto	Versiones afectadas
WWBN	AVideo	No publicado por las fuentes consultadas

Impacto y riesgo

Confidencialidad alta (VC:H): exposición de claves de streaming que otorgan control total sobre la emisión en plataformas de terceros.
Integridad y disponibilidad no afectadas directamente (VI:N, VA:N), aunque un atacante podría modificar o eliminar streams usando las credenciales robadas.
Impacto en componentes subsiguientes (SC:H): los servicios de streaming externos (YouTube, Facebook, Twitch) pueden verse comprometidos.
Vector de ataque de red (AV:N), baja complejidad (AC:L), sin privilegios (PR:N) y sin interacción de usuario (UI:N) facilitan la explotación masiva.

La puntuación de prioridad de RyzerBot (185) refleja la criticidad, la reciente publicación y la facilidad de explotación.

Estado de explotación conocida

⚠️ No se ha reportado explotación activa en las fuentes consultadas (NVD, CVE.org, avisos de GitHub y VulnCheck). La selección del bot se basa en la publicación reciente y la puntuación CVSS ≥ 9.0, no en evidencia de explotación en la wild.

Indicadores de compromiso (IOC)

🔍 No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.

Cómo comprobar si estás afectado

Verifica si tu instalación de AVideo corresponde al commit e01e41ecc o anterior.
Revisa los logs de acceso al endpoint /plugin/Live/view/Live_restreams/getLiveKey.json.php en busca de peticiones con parámetro token.
Comprueba si existen accesos anómalos a claves de streaming en las plataformas vinculadas (YouTube, Facebook, Twitch).
Consulta el aviso de seguridad de GitHub (GHSA-c4w3-h888-7ccv) para obtener la versión corregida.

No se proporcionan comandos específicos porque las fuentes no los detallan.

Mitigación y actualización

🛡️ La acción recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Los pasos típicos incluyen:

Actualizar AVideo a la versión posterior al commit e01e41ecc que incluya la corrección del token y la validación de propiedad del restream.
Si no hay actualización disponible, deshabilitar temporalmente el endpoint getLiveKey.json.php o restringir su acceso mediante firewall/WAF.
Rotar todas las claves de streaming (stream_key) expuestas y revocar tokens antiguos en las plataformas de destino.
Implementar controles de integridad criptográfica (MAC, IV aleatorio) en la generación de tokens.

Checklist para administradores

☐ Identificar instalaciones de AVideo en la infraestructura.
☐ Confirmar versión/commit actual (≤ e01e41ecc).
☐ Aplicar parche oficial o actualizar a versión corregida.
☐ Revocar y regenerar claves de streaming en YouTube, Facebook, Twitch.
☐ Monitorizar accesos al endpoint vulnerable tras la mitigación.
☐ Documentar acciones y comunicar a equipos de seguridad.

Preguntas frecuentes

¿Qué permite hacer un atacante con esta vulnerabilidad?: Obtener las credenciales de streaming (stream_key y stream_url) de cualquier restream configurado en AVideo, lo que permite publicar en nombre de la víctima en YouTube, Facebook, Twitch, etc.
¿Es necesario estar autenticado para explotarla?: No. La vulnerabilidad permite el acceso sin autenticación mediante un token falsificable.
¿Qué versiones de AVideo están afectadas?: El commit actual e01e41ecc y anteriores. No se han publicado rangos de versiones concretos en los avisos.
¿Existe exploit público?: Las fuentes consultadas no mencionan un exploit público; sin embargo, la facilidad de forjar tokens sugiere que la explotación es trivial.
¿Cómo puedo proteger mi instancia mientras no hay parche?: Restringir el acceso al endpoint vulnerable, rotar claves de streaming y monitorizar logs de acceso anómalo.
¿Dónde encuentro el aviso oficial?: En el aviso de seguridad de GitHub (GHSA-c4w3-h888-7ccv) y en el análisis de VulnCheck.