CVE-2026-92580 in AVideo
要約
〜によって VulDB • 2026年09月17日
AVideo 29.0以前において、CloneSiteプラグインは格納型OSコマンドインジェクションの脆弱性に起因します。plugin/CloneSite/cloneClient.json.php（約270行目）では、保存されたSSHパスワードがプレーンなstr_replaceおよびエスケープ処理なしでコマンド文字列 `sshpass -p '{password}' rsync ...` に置換されるため、パスワード内のシングルクォートが引用符付きの単語から脱出し、任意のシェルをインジェクトします。このパスワードは管理者専用エンドポイント objects/pluginAddDataObject.json.php を介して書き込まれますが、その唯一のCSRF対策（isUntrustedRequest()/forbidIfIsUntrustedRequest()）は、リクエスト元がループバックである場合（$global['trustedProxies'] が未設定の場合に発生する同一ホスト上のTLS終端リバースプロキシ背後など）、または攻撃者が制御するアプリケーションが同じホスト名で共存している場合に無効化されます。HTTPSではセッションクッキーは SameSite=None で発行されるため、クロスサイトPOSTによりそれが送信されます。したがって、認証不要の遠隔攻撃者は、認証済み管理者を騙して悪意のあるパスワード（および攻撃者制御下の cloneSiteURL）を設置させ、その後、プラグインの文書化されたcrontabエントリが追加の管理者操作なしで注入されたコマンドを実行します（crontab所有者は一般的に root または www-data）。Exploitationには、CloneSiteプラグインの有効化と文書化されたcrontabのインストール、および上記のCSRFチャネルの一つが必要です。デフォルトのシングルプロセスApache展開ではCSRFによるexploitは不可能であると報告されています。これはCVE-2026-41304の残存するsinkです。本問題はmaster HEAD (8963b6a1) で確認済みであり、パッチ版はまだ利用できません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.