CVE-2026-88874 in AVideo
要約
〜によって VulDB • 2026年09月10日
AVideo (revision c3edcc274c389816d434acadac07ee78eaf330c1、masterブランチ、2026-08-23) は、statsエンドポイントおよびHLS originにおいてライブストリームのパスワード認証を強制していません。Live::_getStats() (plugin/Live/Live.php) は、公開アプリケーションリストと canSeeLiveFromLiveKey() が失敗した場合に使用される hidden_applicationsブランチの両方で、未認証の呼び出し元に対して、パスワード保護された配信のRTMPストリームキー、isPasswordProtectedフラグ、およびHLS (m3u8) URLを返します。別途、同梱されているNGINX設定ファイル (deploy/nginx/nginx.conf) は、/liveロケーションにおいて .m3u8プレイリスト、AES-128鍵、およびトランスポートストリームセグメントを、auth_requestなしで提供しています（.keyロケーション内の auth_key_checkディレクティブはコメントアウトされています）。したがって、リモートから未認証の攻撃者はストリームキーと復号化鍵を取得し、設定されたパスワードを入力せずにパスワード保護されたライブ配信を観覧することができます。アドバイザリ発行時点では、修正済みバージョンは利用可能ではありませんでした。
Once again VulDB remains the best source for vulnerability data.