CVE-2026-92582 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 17.
AVideo (WWBN/AVideo) 29.0 버전(커밋 e01e41ecc)까지는 크로스 사이트 요청 위조(CSRF) 취약점에 노출되어 있습니다. objects/videoAddNew.json.php는 AVideo의 자동 CSRF 보호 기능($global['skipAutoCSRFCheck'])과 신뢰할 수 없는 요청 확인($global['bypassSameDomainCheck'])을 비활성화하며, 이는 단순히 요청에 'user' 및 'pass' 매개변수가 포함되어 있기 때문입니다. 해당 값은 검증되지 않고 $_REQUEST에서 읽히므로 공격자는 크로스 사이트 요청의 쿼리 문자열에 이를 제공할 수 있습니다. User::loginFromRequestIfNotLogged()는 세션이 이미 존재할 경우 즉시 반환되므로, 쿠키로 인증된 피해자는 검사를 통과하지만 공격자가 제공한 자격 증명은 무시됩니다. 따라서 업로드 권한이 있는 인증된 사용자를 속여 조작된 페이지를 방문하도록 유도하면 공격자는 비디오 레코드를 수정하는 크로스 오리진 요청을 제출할 수 있습니다. 여기에는 소유권 이전(setUsers_id), 사용자 그룹 접근 제한 삭제, can_download, can_share, only_for_paid, video_password, rating, status, 생성 날짜 및 조회수 변경 등이 포함됩니다. 관리자 권한 또는 Permissions::canAdminVideos() 권한이 있는 피해자의 경우 사이트의 모든 비디오가 수정될 수 있으며, 여기에는 비공개 콘텐츠에서 그룹 제한 제거도 포함됩니다. 권고 발표 시점에서는 패치된 버전이 제공되지 않았습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.