CVE-2026-61572 in AVideo-Encoder
요약
\~에 의해 VulDB • 2026. 10. 28.
AVideo는 비디오 공유 플랫폼입니다. 8.1.0 버전의 초기 수정 시도 이전에 `objects/functions.php` 내의 `url_get_contents` 함수는 `FILTER_VALIDATE_URL` 구문 검증만 수행한 후 호출자가 제어 가능한 대상 URL을 허용하며, 사설 주소, 루프백 주소 또는 링크 로컬 주소를 거부하지 않고 TLS 피어 검증을 비활성화합니다. `Login::isLogged`는 공격자가 설정할 수 있는 `encoder_aVideoURL` 쿠키와 임의의 빈 문자열이 아닌 `encoder_user` 및 `encoder_pass` 쿠키를 사용하여 재인증하며, `Login::run`은 가져온 원본 본문(body)을 `result`에 저장합니다. 인증되지 않은(unauthenticated) `objects/login.json.php` 엔드포인트는 해당 세션 객체를 반환하여 제공된 `siteURL`을 통해 전체 응답 탈취(exfiltration)를 가능하게 합니다. 여기서 `Streamer::isURLAllowed` 게이트는 운영자 허용 목록(operator allowlist)이 비어 있는 기본 설정 시 모든 사이트를 허용합니다. 인증되지 않은 원격 공격자는 클라우드 인스턴스 메타데이터 자격 증명 등 내부 HTTP 및 HTTPS 응답을 읽을 수 있으며, 내부 TCP 서비스에 접근할 수 있습니다. `view/youtubeDl.json.php`의 추가적인 사전 인증(pre-authentication) FTP 변종은 ftp `videoURL`을 `FTPDownloader`로 라우팅합니다. `objects/FTPDownloader.php` 내의 `parseFtpUrl` 함수는 `ftp_connect`를 위해 호스트와 포트를 허용하며, 이 역시 내부 FTP 서비스에 대한 요청을 가능하게 합니다. 신뢰할 수 없는(self-signed) HTTPS 인증서가 수용되며, 계정 또는 운영자 상호 작용이 필요하지 않습니다. 버전 8.1.0에는 원본 응답 반사(raw-response reflection) 제거 및 대상 검증을 추가하는 초기 수정 시도가 포함되어 있지만, 사설 네트워크 면제 조항과 로그인 TLS 검증 기본값 설정으로 인해 설명된 내부 네트워크 및 TLS 변종에 대한 완전한 수정은 해결되지 않은 상태로 남아 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.