CVE-2026-88874 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 10.
revision c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) 버전의 AVideo는 stats 엔드포인트 및 HLS origin에서 라이브 스트림 비밀번호 검증을 적용하지 않습니다. Live::_getStats() 함수(plugin/Live/Live.php)는 인증되지 않은 호출자에게 암호로 보호된 전송의 RTMP 스트림 키, isPasswordProtected 플래그, 그리고 HLS (m3u8) URL를 공개 애플리케이션 목록과 canSeeLiveFromLiveKey()가 실패할 때 사용되는 hidden_applications 브랜치 모두에서 반환합니다. 별도로 제공되는 NGINX 구성 파일(deploy/nginx/nginx.conf)은 /live 위치에서 .m3u8 플레이리스트, AES-128 키 및 트랜스포트 스트림 세그먼트를 auth_request 없이 제공합니다 (.key 위치의 auth_key_check 지시문이 주석 처리됨). 따라서 원격에 있는 인증되지 않은 공격자는 구성된 비밀번호를 입력하지 않고도 스트림 키와 복호화 키를 획득하여 암호로 보호된 라이브 전송을 시청할 수 있습니다. 권고 사항 발표 시점에는 패치된 버전이 제공되지 않았습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.