CVE-2026-92580 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 17.
AVideo 29.0 이전 버전에서 CloneSite 플러그인은 저장형 OS 명령어 인젝션(OS Command Injection)에 취약합니다. plugin/CloneSite/cloneClient.json.php(라인 ~270)의 경우, 저장된 SSH 비밀번호가 평문 str_replace를 통해 `sshpass -p '{password}' rsync ...`라는 문자열 내로 치환되며 탈출 처리가 이루어지지 않습니다. 이로 인해 비밀번호 내의 단일 따옴표(')가 인용된 단어 구문을 벗어나 임의 셸을 인젝션할 수 있습니다.
비밀번호는 관리자 전용 엔드포인트인 objects/pluginAddDataObject.json.php를 통해 작성됩니다. 이 엔드포인트의 유일한 CSRF 방어 메커니즘(isUntrustedRequest()/forbidIfIsUntrustedRequest())은 요청 소스가 루프백으로 보이는 경우(예: $global['trustedProxies']가 설정되지 않은 동일 호스트 TLS 종료 리버스 프록시 뒤에서 발생) 또는 공격자가 제어하는 애플리케이션이 동일한 호스트 이름에 함께 호스팅되는 경우에 무효(no-op)로 동작합니다. HTTPS 환경에서는 세션 쿠키가 SameSite=None 속성으로 발급되므로, 크로스 사이트 POST 요청 시 해당 쿠키가 전달됩니다.
따라서 인증되지 않은 원격 공격자는 인증된 관리자를 유인하여 악의적인 비밀번호(및 공격자가 제어하는 cloneSiteURL)를 식재한 후, 플러그인의 문서화된 crontab 항목이 추가 관리자 작업 없이 crontab 소유자(root 또는 www-data 등) 권한으로 인젝션된 명령어를 실행하도록 할 수 있습니다.
공격에는 CloneSite 플러그인이 활성화되고 문서화된 crontab이 설치되어 있으며, 위의 CSRF 채널 중 하나가 존재해야 합니다. 기본 단일 프로세스 Apache 배포 환경은 CSRF 공격에 취약하지 않은 것으로 보고됩니다. 이 문제는 CVE-2026-41304의 잔류 결함(residual sink)입니다. 해당 이슈는 master HEAD(8963b6a1)에서 확인되었으며, 패치된 버전은 아직 제공되지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.