CVE-2026-89247 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 11.
WWBN AVideo의 commit c3edcc274c389816d434acadac07ee78eaf330c1 및 이전 버전에는 plugin/AD_Server/VMAP.php에서 XML injection 취약점이 존재합니다. 이 취약점은 AD_Server 플러그인이 활성화된 경우 인증 없이 접근 가능합니다. 해당 스크립트는 Content-Type: application/xml을 출력하며, AD_Server::getVMAPSFromRequest()가 반환하는 timeOffset 및 idTag 값을 인코딩하지 않고 VMAP 속성에 직접 작성합니다. 이러한 값들은 base64 및 JSON 디코드된 $_REQUEST['vmaps'] 매개변수에서 유래하며, 이는 objects/security.php의 $securityFilter로 보호되지 않습니다. 원격 공격자는 vmaps 값(비어 있지 않은 VAST.campaing 항목 포함)을 조작하여 사용자가 해당 VMAP URL 또는 이를 사용하는 비디오 페이지를 열도록 유도함으로써 생성된 XML에 임의의 <vmap:AdBreak> 및 <vmap:AdTagURI>/AdSource 노드를 삽입할 수 있습니다. 플레이어의 IMA 경로(afterVideoJS -> PlayerSkins::setIMAADTag)는 공격자가 제공한 광고 URL을 요청하여 광고 주입과 피해자의 재생 세션에서 cross-origin 요청이 발생하게 됩니다. 이 문제는 보고 당시 수정되지 않았습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.