CVE-2026-86719 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 08.
WWBN AVideo는 커밋 c3edcc274c389816d434acadac07ee78eaf330c1(master)까지 cross-site request forgery(CSRF) 취약점을 CustomizeUser 플러그인 엔드포인트 plugin/CustomizeUser/swapUser.json.php에 포함하고 있습니다. 해당 엔드포인트는 $_REQUEST에서 users_id를 받아 forbidIfNotPost() 또는 forbidIfInvalidToken()을 호출하지 않고 User::swapUser()를 실행하며, 전역 autoCSRFGuard() 검사는 *.json.php로의 POST 요청에만 적용되므로 GET 메서드로도 액션에 접근할 수 있습니다. 공격자가 인증된 관리자의 브라우저를 통해 cross-origin GET(예: img 태그 또는 링크를 통해)을 수행하도록 유도하면 해당 관리자의 세션을 비관리자 계정과 교체하여, 스왑이 취소될 때까지 관리자 권한을 상실하게 만듭니다. 다른 관리자 계정으로의 스왑은 거부되므로 이는 privilege escalation이 아닙니다. 또한 JSON 응답에는 session_id가 노출됩니다. CustomizeUser 플러그인은 기본적으로 활성화되어 있으며, 공개 당시 패치는 제공되지 않았습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.