CVE-2026-86722 — CVE & Security Advisory Radar

🎯 CVE-2026-86722 🧪 PoC 🇪🇺 EUVD

📄 .md Alle CVEs anzeigen ✕

CVE-2026-86722 | AVideo through commit c3edcc274c389816d434acadac07ee78eaf330c1 contains an authentication bypass vulnerability where sqlDAL caches empty result sets that writeSql never invalidates. Attackers with a valid password can bypass email two-factor authentication on new devices because the confirmation code hash fails to generate from the stale cached empty result.

AVideo through commit c3edcc274c389816d434acadac07ee78eaf330c1 contains an authentication bypass vulnerability where sqlDAL caches empty result sets that writeSql never invalidates. Attackers with a valid password can bypass email two-factor authentication on new devices because the confirmation code hash fails to generate from the stale cached empty result.

Klassifikation & Betroffenheit:

WWBN AVideo 0 ≤c3edcc274c389816d434acadac07ee78eaf330c1

Improper Authentication 🎯 High

When an actor claims to have a given identity, the product does not prove or insufficiently proves that the claim is correct.

🛡️ Empfohlene Mitigation: Use an authentication framework or library such as the OWASP ESAPI Authentication feature.

Vollständige Definition bei MITRE ➔

⚔️ Typische Angriffsmuster (CAPEC):

CAPEC-22 · Exploiting Trust in Client (High) CAPEC-57 · Utilizing REST's Trust in the System Res… (Very High) CAPEC-114 · Authentication Abuse (Medium) CAPEC-115 · Authentication Bypass (Medium) CAPEC-151 · Identity Spoofing (Medium) CAPEC-194 · Fake the Source of Data (Medium) CAPEC-593 · Session Hijacking (Very High) CAPEC-633 · Token Impersonation (Medium)

🎯 ATT&CK-Techniken (Kill-Chain-Verhalten):

T1040 · Network Sniffing T1548 · Abuse Elevation Control Mechanism T1185 · Browser Session Hijacking T1550.001 · Use Alternate Authentication Mater… T1563 · Remote Service Session Hijacking T1134 · Access Token Manipulation

🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):

CVE-2026-40911 10.0 CVE-2026-33478 10.0 CVE-2022-32572 9.9 CVE-2022-30547 9.9 CVE-2022-30534 9.9

📚 Referenzen & Quellen:

🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag

Ausnutzungs-Zeitleiste:

Reserviert 2026

Veröffentlicht 09/2026

Heute 21.09.

CVSS-Vektor-Analyse: 8.6

AV · Angriffsvektor Netzwerk

AC · Komplexität Gering

PR · Privilegien Gering

UI · Interaktion Keine

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Veröffentlicht:08.09.2026

Aktualisiert:10.09.2026 14:17

Assigner (CNA):VulnCheck

EUVD-ID:EUVD-2026-72858

Quellen: 🇪🇺 EUVD-Datenbank (ENISA) + 🇺🇸 NVD-Anreicherung · 24-h-Cache

CWE-287: Improper Authentication ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

Tier	2026-09-02	2026-09-20
≥90 %	0	489
≥50 %	0	1477
≥10 %	0	0
<10 %	300	0

Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).

🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS

EPSS

0.3%

CVE-2026-86722 🌐 Netzwerk (Remote) 🔑 Geringe Nutzerrechte nötig

WWBN

CVE-2026-86722 | AVideo through commit c3edcc274c389816d434acadac07ee78eaf330c1 contains an authentication bypass vulnerability where sqlDAL caches empty result sets that writeSql never invalidates. Attackers with a valid password can bypass email two-factor authentication on new devices because the confirmation code hash fails to generate from the stale cached empty result.

CWE-287: Improper Authentication ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

08.09.2026

🛡️ Details ➔

Zero-Day & Vulnerability Intelligence Hub