Podatności AVideo

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma podatność na atak SSRF. Dwa punkty końcowe nieprawidłowo walidują dostarczone przez użytkownika adresy URL, co pozwala atakującemu na przekierowanie do wewnętrznych zasobów.

AVideo to otwartoźródłowa platforma wideo, która w wersjach do 29.0 ujawnia lokalny sekret CloneSite w odpowiedzi HTTP na każde nieautoryzowane żądanie. Sekret ten może być wykorzystany przez atakującego do podszywania się pod ofiarę i uzyskania dostępu do zdalnej bazy danych.

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma lukę umożliwiającą atakującemu bez uwierzytelnienia wysyłanie złośliwych wiadomości przez WebSocket. Luka ta wynika z niewłaściwego przetwarzania danych JSON, co pozwala na wykonanie kodu PHP na serwerze.

AVideo zawiera nieuwierzytelnioną podatność na dowolny zapis plików w punkcie końcowym aVideoEncoderChunk.json.php, co pozwala zdalnym atakującym na zapis do 4 GB dowolnej treści na serwerze przez żądania HTTP PUT bez uwierzytelnienia.

AVideo przed wersją 29.0 zawiera niekompletną poprawkę dla CVE-2026-45578. Funkcja execAsync() ponownie opakowuje uciekające komendy w podwójnie cudzysłowowe sh -c, co umożliwia podstawianie komend przez $() i backticks. Atakujący mogą wstrzykiwać dowolne komendy OS przez endpoint on_publish.php wtyczki Live, pomimo ochrony escapeshellarg().

WWBN AVideo przed wersją 29.0 zawiera podatność na trwałe DOM Cross-Site Scripting w pluginie YPTSocket. Niezautoryzowany atakujący może zdalnie wykonać dowolny kod JavaScript w kontekście administratora przeglądającego panel debugowania online użytkowników.

AVideo w wersjach od 14.3.1 do 20.1 zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu spowodowaną przewidywalnym generowaniem soli instalacyjnej przy użyciu PHP uniqid(). Znacznik czasu instalacji jest ujawniany przez publiczny endpoint, a pochodny identyfikator hasha jest dostępny przez nieuwierzytelnione odpowiedzi API, co pozwala atakującym na brute-force pozostałej entropii. Odzyskana sól może być użyta do zaszyfrowania złośliwego ładunku dostarczonego do endpointu API powiadomień, który ocenia dane kontrolowane przez atakującego, co prowadzi do wykonania dowolnego kodu jako użytkownik serwera WWW.

AVideo w wersjach przed 20.1 z włączoną wtyczką ImageGallery jest podatny na nieuwierzytelnione przesyłanie i usuwanie plików. Punkty końcowe wtyczki odpowiedzialne za zarządzanie obrazami galerii nie egzekwują kontroli uwierzytelniania i nie walidują własności, co pozwala nieuwierzytelnionym atakującym na przesyłanie lub usuwanie obrazów związanych z dowolnym wideo opartym na obrazach.

WWBN AVideo do wersji 30.0 (oraz master do commita 4cb576e) zawiera podatność na cross-site request forgery w plugin/Live/myLiveControls.save.json.php. Endpoint sprawdza tylko, czy użytkownik jest zalogowany, i przetwarza parametry customUrl, customMessage i autoRedirect z $_REQUEST przez żądanie GET bez wymuszania tokena CSRF lub sprawdzania pochodzenia. Atakujący, który zwabi zalogowanego streamera na złośliwą stronę, może po cichu zmienić ustawienia przekierowania widzów kanału na żywo, co spowoduje przekierowanie widzów na phishingową stronę lub wyświetlenie sfałszowanej wiadomości.

WWBN AVideo do wersji 30.0 nie egzekwuje uwierzytelniania na endpointach report4.json.php i report4.1.json.php, co pozwala nieuwierzytelnionym użytkownikom na dostęp do statystyk rejestracji użytkowników. Atakujący mogą wysyłać żądania GET do tych endpointów, aby uzyskać dzienne i skumulowane liczby rejestracji bez sesji lub autoryzacji.

AVideo przed wersją 24.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji isSSRFSafeURL, która nie wyodrębnia osadzonych adresów IPv4 z formatów przejściowych IPv6 (NAT64, 6to4, Teredo). Nieuwierzytelnieni atakujący mogą ominąć ochronę SSRF przez punkt końcowy LiveLinks, aby dotrzeć do wewnętrznych usług i punktów końcowych metadanych chmury.

AVideo do commitu 9c39d8c8 zawiera podatność na obejście uwierzytelniania, gdzie deduplicateByEncoderQueueId() zwraca poświadczenia video_id_hash dla dowolnego wideo na podstawie encoder_queue_id bez weryfikacji własności, a useVideoHashOrLogin() konwertuje ten hash na logowanie bez hasła jako właściciel wideo. Atakujący z uprawnieniami do przesyłania mogą uzyskać video_id_hash administratora, pomijając parametr videos_id, a następnie użyć tego hasha w nieuwierzytelnionym żądaniu, aby uzyskać dostęp do sesji administracyjnej i zmodyfikować konfigurację systemu.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na obejście autoryzacji, gdzie getToken() tworzy tokeny bez powiązania z tożsamością użytkownika lub celem, a plugin/Gallery/view/sections.php wydaje ważne tokeny nieuwierzytelnionym odwiedzającym. Atakujący mogą pobrać token z punktu końcowego Galerii i użyć go do obejścia kontroli autoryzacji w innych podsystemach, takich jak view/hls.php, aby uzyskać dostęp do ograniczonych treści wideo.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w punkcie końcowym releaseVideoNow.json.php, który nie ma kontroli autentyczności i akceptuje żądania GET. Atakujący mogą stworzyć złośliwe żądanie GET z ciasteczkiem sesji administratora, aby trwale opublikować dowolne wideo z embargiem, manipulując parametrem videos_id.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na obejście autoryzacji w punkcie końcowym Users_affiliations add.json.php, która pozwala uwierzytelnionym użytkownikom na sfałszowanie zapisów dwustronnej zgody poprzez podanie znacznika czasu zgody drugiej strony. Atakujący mogą utworzyć sfałszowaną afiliację ze statusem 'a', a następnie przypisać własność wideo dowolnym użytkownikom przez punkt końcowy videoAddNew.json.php, który ufa sfałszowanej afiliacji jako warunkowi autoryzacji.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w objects/videoEditLight.php, która nie sprawdza autentyczności żądań i akceptuje żądania GET. Atakujący mogą przechowywać tag img w opisie wideo, który przenosi własność wideo na konto kontrolowane przez atakującego, gdy administrator przegląda stronę wideo.

AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w channelToGallery.json.php, która pozwala atakującym modyfikować konfigurację Galerii na poziomie całej witryny poprzez nieautoryzowane zapisy do danych wtyczki. Atakujący mogą stworzyć żądanie GET z ciasteczkiem sesji administratora, aby promować dowolne kanały na stronę główną lub usuwać wybrane sekcje bez walidacji tokena.

AVideo do commitu 9c39d8c8 zawiera podatność na ujawnienie informacji w feed/index.php, która pozwala nieuwierzytelnionym atakującym na pobranie adresów e-mail właścicieli kanałów poprzez podanie publicznej nazwy kanału. Atakujący mogą enumerować wszystkie adresy e-mail twórców, iterując po publicznych nazwach kanałów i wyciągając je z elementów RSS itunes:email i itunes:author, co umożliwia próby przejęcia kont i kampanie phishingowe.

AVideo nie dezynfekuje pola telefonu podczas rejestracji użytkownika, co pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwy JavaScript, który utrzymuje się w bazie danych. Gdy administrator odwiedza stronę zarządzania użytkownikami, niesprawdzona wartość telefonu jest renderowana przez innerHTML, wykonując wstrzyknięty skrypt w sesji przeglądarki administratora.

AVideo w wersjach od commita 0dbadbca do najnowszej zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w przepływie pobierania przez URL w encoderze. Wynika to z nieprzypiętego mechanizmu ponawiania, który omija walidację przypinania DNS. Uwierzytelniony atakujący może dostarczyć URL pobierania, który przekierowuje na wewnętrzny adres, powodując, że nieprzypięte ponowienie podąża za przekierowaniem i dociera do wewnętrznych celów.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach przed 29.0 oficjalna konfiguracja Docker compose udostępnia plik .env nieuwierzytelnionym użytkownikom. Plik .env zawiera dane uwierzytelniające do bazy danych, hasła administratora i konfigurację infrastruktury, a jest serwowany jako statyczny plik pod adresem /.env.

Podatność w AVideo do wersji 29.0 umożliwia wstrzyknięcie poleceń systemu operacyjnego przez endpoint ffmpeg.json.php. Parametry notifyCode i callback są łączone w polecenie powłoki bez odpowiedniego escapowania, co pozwala atakującemu na wykonanie dowolnych poleceń jako użytkownik serwera WWW.

W AVideo do wersji 29.0 w pliku plugin/API/standAlone/functions.php funkcja listFFmpegProcesses() interpoluje niesanitowane parametry keyword w pojedynczych cudzysłowach bez odpowiedniego escapowania. Atakujący, którzy mogą stworzyć poprawny zaszyfrowany payload codeToExec, mogą wyrwać się z kontekstu grep w pojedynczych cudzysłowach i wykonać dowolne polecenia systemu operacyjnego jako użytkownik serwera WWW.

Podatność typu Stored Cross-Site Scripting (XSS) w pluginie YouTubeAPI platformy AVideo (wersje 29.0 i starsze). Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez ustawienie tytułu filmu na YouTube, który jest następnie wyświetlany na stronie głównej AVideo bez kodowania HTML.

W AVideo przed wersją 29.0 występuje nieuwierzytelniona, odbita podatność XSS w paginacji galerii YouTubeAPI. Parametr $_GET['search'] jest bezpośrednio konkatenowany do atrybutu href linków paginacji bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript.

WWBN AVideo w wersji 29.0 i niższych zawiera podatność na trwały XSS w module WebSocket MessageSQLite. Atakujący może ominąć filtrowanie parametru autoEvalCodeOnHTML, umieszczając złośliwy kod w kluczu 'json' zamiast 'msg', co pozwala na wykonanie dowolnego JavaScriptu w przeglądarkach innych użytkowników.

Podatność XSS w AVideo (wtyczka Meet) pozwala atakującemu na przechowywanie złośliwego kodu JavaScript w nagłówku User-Agent podczas dołączania do publicznego spotkania. Kod ten jest następnie wyświetlany bez odpowiedniego kodowania w panelu zarządzania uczestnikami, co prowadzi do wykonania skryptu w sesji administratora lub gospodarza spotkania.

Podatność w AVideo do wersji 25.0 umożliwia nieuwierzytelnionym atakującym ominięcie mechanizmu uwierzytelniania w endpointcie decryptMessage.json.php. Pozwala to na zdalne odszyfrowywanie wiadomości PGP bez podawania poświadczeń, co naraża klucze prywatne na zapis w logach i umożliwia ataki typu wyczerpanie zasobów.

AVideo w wersji do 27.0 zawiera podatność typu server-side request forgery w pliku plugin/Live/test.php, która pozwala uwierzytelnionym administratorom na odczyt dowolnych adresów URL za pomocą parametru statsURL. Brak walidacji isSSRFSafeURL() umożliwia wysyłanie żądań do prywatnych zakresów IP oraz punktów końcowych metadanych w chmurze.

AVideo w wersji do 26.0 zawiera wiele punktów końcowych list.json.php w wtyczkach płatności, które nie mają kontroli autoryzacji, co prowadzi do ujawnienia tokenów PayPal, webhooków Authorize.Net oraz rekordów transakcji Bitcoin.

W AVideo 29.0 i wcześniejszych wersjach występuje klasyczna podatność na wstrzykiwanie metaznaków powłoki. W gałęzi powiadomień YPTSocket w pliku plugin/Live/on_publish.php polecenie execAsync() jest budowane przez konkatenację ciągów, z każdym argumentem w pojedynczym cudzysłowie, ale bez wywołania escapeshellarg(). Znak ' w dowolnej z trzech interpolowanych wartości ($users_id, $m3u8, $obj->liveTransmitionHistory_id) zamyka cytowany token i pozwala atakującemu dołączyć dowolne polecenia.

W WWBN AVideo do wersji 26.0 włącznie, plik objects/aVideoEncoderReceiveImage.json.php umożliwiał uwierzytelnionemu uploaderowi pobieranie kontrolowanych przez atakującego adresów URL samego pochodzenia /videos/..., omijanie zabezpieczeń traversal i ujawnianie lokalnych plików serwera poprzez ścieżkę przechowywania plakatu GIF. Podatna gałąź GIF mogła być wykorzystana do odczytu lokalnych plików, takich jak /etc/passwd lub pliki źródłowe aplikacji, i ponownego opublikowania tych bajtów przez normalny publiczny adres URL mediów GIF.

WWBN AVideo, otwartoźródłowa platforma wideo, zawiera lukę Server-Side Request Forgery (SSRF) w przepływie logowania retransmisji na żywo. Uwierzytelniony streamer może przechowywać dowolny URL callback, który jest następnie pobierany po stronie serwera. Luka występuje w wersjach 26.0 i wcześniejszych.

AVideo to otwarta platforma wideo, w której funkcja EPG (Electronic Program Guide) parsuje XML z kontrolowanych przez użytkownika URL-i i renderuje tytuły programów bezpośrednio w HTML bez sanityzacji. Użytkownik z uprawnieniami do przesyłania może ustawić złośliwy plik XML, którego elementy <title> zawierają JavaScript. Podatność dotyczy wersji 26.0 i wcześniejszych.

WWBN AVideo w wersjach 26.0 i starszych ma podatność w handlerze PayPal IPN v1, który nie deduplikuje transakcji. Atakujący może powtarzać pojedyncze powiadomienie IPN, wielokrotnie zwiększając saldo portfela i odnawiając subskrypcje.

W AVideo w wersji 26.0 i wcześniejszych wykryto podatność w skrypcie install/deleteSystemdPrivate.php. Z powodu błędu pierwszeństwa operatorów w PHP, warunek !php_sapi_name() === 'cli' zawsze zwraca false, co umożliwia zdalny dostęp bez uwierzytelnienia do skryptu, który usuwa pliki z katalogu tymczasowego i ujawnia jego zawartość.