CVE-2026-82645 in AVideo
요약
\~에 의해 VulDB • 2026. 08. 30.
AVideo (현재 커밋 e01e41ecc 및 그 이전 버전)는 plugin/Live/view/Live_restreams/getLiveKey.json.php 엔드포인트를 통해 스트림 자격 증명을 노출합니다. 'token' 요청 매개변수를 제공하면 Live::canRestream() 접근 게이트와 restream 소유권 확인이 모두 우회되어, 인증 없이도 임의의 restream에 대한 stream_key 및 stream_url(YouTube, Facebook, Twitch 등 외부 플랫폼용 자격 증명)을 반환하게 됩니다. 이 토큰은 사용자 바인딩, 만료 기간 또는 인증 태그가 없는 정수 ID를 encryptString()으로 암호화한 것에 불과합니다. AES-256-CBC 기반의 암호화가 결정론적 IV와 MAC 부재로 동작하며 intval()이 숫자로 시작하는 모든 문자열을 허용하므로, 공격자는 view/url2Embed.json.php에서 공개된 암호화 오라클을 사용하여 유효한 토큰을 위조하고 임의 사용자의 스트림 자격 증명을 유출할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.