CVE-2026-88871 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 10.
WWBN AVideo는 커밋 c3edcc274c389816d434acadac07ee78eaf330c1(master, 2026-08-23)에 Cross-Site Request Forgery(CSRF) 취약점이 포함되어 있습니다. 이 취약점은 CustomizeUser 플러그인의 plugin/CustomizeUser/setSubscribers.json.php 엔드포인트에서 발생합니다. 해당 스크립트는 $_REQUEST에서 users_id와 ExtraSubscribers를 읽으며, POST 요청이나 유효한 CSRF 토큰을 요구하지 않고 User::setExtraSubscribers()를 호출합니다. autoCSRFGuard()는 *.json.php로의 POST 요청에만 적용되며, 이 변경(ObjectYPT::save()/isUntrustedRequest())은 ObjectYPT::save() 또는 isUntrustedRequest() 경로를 거치지 않으므로 cross-origin GET이 성공할 수 있습니다. 인증되지 않은 원격 공격자가 로그인한 관리자를 조작된 페이지(예: 해당 엔드포인트를 가리키는 img 태그)로 유도하면, 모든 사용자의 채널에 표시되는 ExtraSubscribers 카운트를 위조할 수 있습니다. CustomizeUser 플러그인은 기본적으로 활성화되어 있으며, 보고 당시 패치된 버전은 제공되지 않았습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.