Podatności AVideo

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność cross-site request forgery w endpointach klucza PGP wtyczki LoginControl, które nie weryfikują tokenu CSRF. Atakujący mogą tworzyć złośliwe strony z tagami obrazów wskazującymi na savePublicKey.json.php, aby zastąpić klucz publiczny PGP 2FA zalogowanej ofiary.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting we wtyczce LoginControl, która nie koduje nagłówka User-Agent przed zapisaniem go w historii logowań. Atakujący z dowolnym ważnym kontem może wstrzyknąć złośliwe skrypty w nagłówku User-Agent, które wykonują się w przeglądarce administratora podczas przeglądania strony historii logowań.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie weryfikuje własności restreamu w pliku getRestream.json.php, co pozwala uwierzytelnionym użytkownikom z uprawnieniem canStream generować tokeny dla dowolnych restreamów. Atakujący mogą wymienić token, aby pobrać klucze strumieni innych użytkowników z getLiveKey.json.php i publikować do ich celów YouTube, Twitch lub RTMP.

AVideo do wersji 29.0 zawiera podatność na ominięcie uwierzytelniania w plugin/PlayLists/epg.json.php, która ujawnia klucze transmisji na żywo i prywatne harmonogramy EPG nieuwierzytelnionym użytkownikom. Atakujący mogą wysyłać żądania do endpointu z sekwencyjnymi identyfikatorami użytkowników lub list odtwarzania, aby uzyskać wrażliwe poświadczenia, identyfikatory serwerów i pełne harmonogramy programów bez uwierzytelnienia.

AVideo do wersji 29.0 zawiera podatność na ujawnienie informacji w plugin/Live/stats.json.php, która pozwala nieuwierzytelnionym atakującym na pobranie kluczy strumieniowych i adresów URL m3u8 poprzez dostęp do endpointu bez uwierzytelnienia. Atakujący mogą enumerować prywatne, niepubliczne i ograniczone grupowo transmisje na żywo, analizując tablicę hidden_applications w odpowiedzi JSON, aby uzyskać wrażliwe poświadczenia streamingowe.

AVideo do wersji 29.0 zawiera podatność na ujawnienie informacji w restreamsActive.json.php, która pozwala uwierzytelnionym streamerom na enumerację kluczy źródłowych strumieni i tożsamości wszystkich innych aktywnych restreamów streamerów. Punkt końcowy nie filtruje wyników według własności użytkownika, ujawniając wrażliwe dane transmisyjne i tożsamość streamerów we wszystkich kontach każdemu użytkownikowi z możliwością streamowania.

AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na brak autoryzacji w endpointcie add.json.php wtyczki SocialMediaPublisher, która pozwala uwierzytelnionym użytkownikom na modyfikowanie rekordów tokenów OAuth innych użytkowników. Atakujący mogą podać dowolne identyfikatory wierszy, aby nadpisać access_token i refresh_token innego użytkownika, a następnie usunąć naruszony rekord, niszcząc powiązanie dostawcy ofiary.

AVideo do commitu c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na cross-site request forgery w plugin/YPTWallet/view/saveBalance.php, która pozwala atakującym na ustawianie dowolnych sald portfela, polegając wyłącznie na ciasteczkach sesji bez walidacji tokena. Atakujący mogą stworzyć złośliwą stronę, która po załadowaniu przez administratora wysyła żądanie POST w celu zmodyfikowania salda portfela dowolnego użytkownika na dowolną wartość.

AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na ominięcie uwierzytelniania w LoginControl::verifyChallenge(), która używa luźnego porównania (==) zamiast ścisłego (===) przeciwko nieustawionym wartościom sesji. Atakujący posiadający tylko hasło mogą wysłać puste żądanie do verifyChallenge.json.php, aby ominąć dwuskładnikowe uwierzytelnianie PGP i uzyskać pełny dostęp uwierzytelniony.

AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na ominięcie uwierzytelniania, gdzie sqlDAL buforuje puste zestawy wyników, których writeSql nigdy nie unieważnia. Atakujący z ważnym hasłem mogą ominąć dwuskładnikowe uwierzytelnianie e-mail na nowych urządzeniach, ponieważ hash kodu potwierdzającego nie generuje się z nieaktualnego buforowanego pustego wyniku.

AVideo do commit c3edcc274c zawiera podatność na ominięcie autoryzacji, gdzie ciasteczko sesji o nazwie 'key' z wartością 'value' nadpisuje parametr $_REQUEST['key'] w saveLive.php i powiązanych endpointach. Atakujący mogą publikować na strumieniu RTMP dowolnego użytkownika bez uwierzytelnienia, używając znanej stałej wartości klucza strumienia, aby przejąć transmisje na żywo.

WWBN AVideo do commitu c3edcc274c389816d434acadac07ee78eaf330c1 (master) zawiera podatność na cross-site request forgery w punkcie końcowym wtyczki CustomizeUser plugin/CustomizeUser/swapUser.json.php. Punkt końcowy pobiera users_id z $_REQUEST i wywołuje User::swapUser() bez wywoływania forbidIfNotPost() lub forbidIfInvalidToken(), a globalna kontrola autoCSRFGuard() działa tylko dla żądań POST do *.json.php, więc akcja jest osiągalna przez GET. Atakujący, który spowoduje, że przeglądarka uwierzytelnionego administratora wyśle żądanie GET z innego pochodzenia (na przykład przez tag <img> lub link), może zastąpić sesję administratora kontem niebędącym administratorem, powodując utratę dostępu administracyjnego do czasu anulowania zamiany; zamiana na inne konto administratora jest odrzucana, więc nie jest to eskalacja uprawnień. Odpowiedź JSON również ujawnia session_id. Wtyczka CustomizeUser jest domyślnie włączona, a w momencie publikacji nie było dostępnej poprawki.

AVideo z włączoną wtyczką YPTSocket zawiera podatność na cross-site scripting, która pozwala nieuwierzytelnionym atakującym wykonywać dowolny JavaScript w przeglądarkach innych użytkowników poprzez mechanizm wywołań zwrotnych websocket. Atakujący mogą wysyłać spreparowane wiadomości socketowe z nazwami wywołań zwrotnych, które odwołują się do globalnych funkcji, takich jak avideoConfirmHTML, które przyjmują niezaufane dane i przypisują je do innerHTML, osiągając wykonanie skryptu w kontekście ofiary bez uwierzytelnienia lub interakcji użytkownika.

WWBN AVideo generuje hasła dla kont logowania zewnętrznego za pomocą rand() zamiast generatora kryptograficznego, co daje tylko 31-bitowe liczby całkowite. Atakujący mający dostęp do skrótów haseł mogą odzyskać hasła w postaci jawnej w ciągu minut poprzez atak brute-force offline z powodu niesolonego haszowania opartego na MD5.

API AVideo nie egzekwuje limitów szybkości, gdy klienci wysyłają nagłówek User-Agent bota, co pozwala atakującym ominąć wszystkie osiem chronionych operacji, w tym ochronę przed brute-force logowania. Atakujący mogą wysyłać żądania z User-Agent bota, aby wyłączyć limitowanie szybkości i przeprowadzać nieograniczone próby odgadnięcia haseł przeciwko dowolnemu kontu z jednego adresu IP.

AVideo do commitu c91b5975d zawiera podatność na odzwierciedlone XSS w pliku userLogin.php, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScriptu przez zamknięcie tagu script za pomocą </script>. Atakujący mogą stworzyć złośliwy URL z parametrem error zawierającym sekwencje przełamania skryptu, aby wykonać dowolny JavaScript w kontekście przeglądarki ofiary na stronie logowania.

WWBN AVideo do commita c91b5975d zawiera podatność server-side request forgery w punkcie końcowym API set_api_userImages, który nie waliduje adresów URL profileImg i backgroundImg przed ich pobraniem. Uwierzytelnieni klienci API mogą podać wewnętrzne adresy URL, aby pobrać metadane chmury lub usługi wewnętrzne, a odpowiedzi są zapisywane w publicznie dostępnych ścieżkach internetowych.

AVideo do commit c91b5975d zawiera podatność na SSRF w parserze EPG, która pozwala uwierzytelnionym uploaderom na pobieranie dowolnych wewnętrznych adresów URL. Atakujący może podać wewnętrzny URL w parametrze epg_link podczas przesyłania wideo, który jest walidowany tylko składniowo, a następnie pobierany po stronie serwera bez ochrony SSRF.

AVideo do commit c91b5975d zawiera podatność na Cross-Site Request Forgery (CSRF) w plugin/Live/saveLive.php, która nie ma zabezpieczeń forbidIfNotPost i forbidIfInvalidToken. Atakujący mogą tworzyć złośliwe tagi obrazków, aby nadpisać klucze RTMP, hasła i tytuły streamerów, przejmując transmisje na żywo.

AVideo do commit c91b5975d zawiera podatność na CSRF w removePoster.php, która nie ma zabezpieczeń forbidIfNotPost lub forbidIfInvalidToken. Atakujący mogą tworzyć złośliwe tagi obrazków, aby usuwać pliki posterów i miniatur ofiar za pomocą żądań GET.

AVideo do commita c91b5975d zawiera podatność cross-site request forgery i path traversal w pliku stopLive.php, która umożliwia atakującym usuwanie katalogów poprzez wykorzystanie braku walidacji tokenu i niesanityzowanej konkatenacji parametru key. Atakujący mogą stworzyć tag obrazu z payloadem traversal, np. key=../../videos, aby wywołać rekurencyjne usunięcie katalogu videos, gdy administrator odwiedzi złośliwą stronę.

AVideo do commit c91b5975d zawiera podatność na odbity XSS w userLogin.php, gdzie parametr cancelUri jest wyświetlany w atrybucie href po sprawdzeniu isSafeRedirectURL, które weryfikuje tylko protokół, a nie znaki HTML. Nieuwierzytelnieni atakujący mogą wstrzykiwać procedury obsługi zdarzeń przez względne URL z cudzysłowami, aby wykonać dowolny JavaScript.

AVideo do commit c91b5975d zawiera podatność na odbity XSS w videoEmbeded.php, gdzie parametr link jest wyświetlany w komentarzu HTML bez żadnego kodowania. Atakujący mogą zamknąć komentarz za pomocą --> i wstrzyknąć dowolny JavaScript, który wykona się, gdy ofiara odwiedzi spreparowany URL.

WWBN AVideo do commitu 9c39d8c8 zawiera niekompletne obejście uwierzytelniania w encryptPass.json.php, które pozwala nieuwierzytelnionym atakującym na obliczenie prawidłowych tokenów HMAC przy użyciu publicznego adresu URL witryny i bieżącego czasu. Atakujący mogą sfałszować tokeny uwierzytelniające, obliczając hash_hmac z adresem URL witryny jako kluczem i przesyłać dowolne hasła, aby otrzymać zaszyfrowane hasze, co umożliwia ataki offline na skradzione bazy haseł.

WWBN AVideo do wersji 30.0 zawiera podatność na ujawnienie informacji w pluginie MobileManager, w punkcie końcowym getConfiguration, który zwraca wrażliwe dane konfiguracyjne nieuwierzytelnionym odwiedzającym. Atakujący mogą wysłać nieuwierzytelnione żądanie GET do plugin/MobileManager/getConfiguration.json.php, aby uzyskać ścieżki plików kluczy prywatnych TLS, szczegóły konfiguracji gniazd, wersję platformy i flagi debugowania, co umożliwia dalsze ataki.

AVideo Live_schedule::setTitle() i setDescription() przechowują dane wejściowe POST bez sanityzacji, co pozwala użytkownikom z uprawnieniami do streamowania na wstrzykiwanie złośliwych skryptów. Nieuwierzytelnieni atakujący mogą uzyskać dostęp do remindMe.php, aby wykonać trwałe ładunki XSS w przeglądarkach ofiar bez wymaganego uwierzytelnienia.

AVideo do wersji 29.0 zawiera nieuwierzytelnioną podatność na iniekcję SQL w pluginie User_Location, w punktach końcowych regions.json.php i cities.json.php. Parametry GET country i region są przekazywane bezpośrednio do zapytań SQL bez escapowania lub użycia prepared statements, co pozwala nieuwierzytelnionym atakującym na wykonanie iniekcji SQL typu UNION w celu odczytania dowolnych danych z bazy, w tym hashy haseł i wrażliwych danych.

AVideo zawiera podatność na brak uwierzytelnienia w plugin/Live/on_publish.php, która umożliwia nieuwierzytelnionym atakującym oznaczanie dowolnych zaplanowanych transmisji jako nieudanych poprzez wysyłanie spreparowanych żądań POST z identyfikatorami harmonogramu. Atakujący mogą wykorzystać niechroniony punkt końcowy wywołania zwrotnego RTMP do modyfikacji pól statusu zaplanowanych transmisji, dostarczając sfałszowane klucze strumienia pasujące do wzorca -ps-<N>, cicho anulując dowolną zaplanowaną transmisję na żywo bez poświadczeń lub autoryzacji.

AVideo zawiera podatność na cross-site request forgery (CSRF) w pliku plugin/API/set.json.php, która pozwala atakującym na wykonywanie operacji zmieniających stan poprzez spreparowane żądania GET omijające ochronę CSRF. Atakujący może przekierować przeglądarkę ofiary na złośliwy URL z parametrami API, aby usunąć filmy, dezaktywować konta lub modyfikować playlisty bez interakcji użytkownika.

WWBN AVideo zawiera podatność na obejście filtra SSRF w funkcji isSSRFSafeURL, która nie normalizuje adresów NAT64 zapisanych w formie szesnastkowej. Atakujący mogą ominąć ochronę SSRF, podając zakodowane szesnastkowo adresy NAT64, takie jak 64:ff9b::a9fe:a9fe, aby dotrzeć do usług metadanych chmury i interfejsów loopback.

AVideo (bieżący commit e01e41ecc i wcześniejsze) ujawnia poświadczenia strumieni przez endpoint plugin/Live/view/Live_restreams/getLiveKey.json.php. Podanie parametru 'token' w żądaniu omija zarówno bramkę dostępu Live::canRestream(), jak i sprawdzanie własności restreamu, co powoduje, że endpoint zwraca stream_key i stream_url dowolnego restreamu (poświadczenia dla zewnętrznych platform, takich jak YouTube, Facebook i Twitch) bez uwierzytelnienia. Token jest jedynie encryptString() identyfikatora całkowitego bez powiązania z użytkownikiem, wygaśnięcia ani tagu uwierzytelniającego. Ponieważ szyfrowanie używa AES-256-CBC z deterministycznym IV i bez MAC, a intval() akceptuje dowolny ciąg zaczynający się od cyfry, nieuwierzytelniony atakujący może sfałszować ważne tokeny, używając publicznego wyroczni szyfrowania w view/url2Embed.json.php, ujawniając poświadczenia strumieni dowolnych użytkowników.

WWBN AVideo do wersji 30.0 (oraz master do commita 4cb576e) zawiera podatność na cross-site request forgery w plugin/Live/myLiveControls.save.json.php. Endpoint sprawdza tylko, czy użytkownik jest zalogowany, i przetwarza parametry customUrl, customMessage i autoRedirect z $_REQUEST przez żądanie GET bez wymuszania tokena CSRF lub sprawdzania pochodzenia. Atakujący, który zwabi zalogowanego streamera na złośliwą stronę, może po cichu zmienić ustawienia przekierowania widzów kanału na żywo, co spowoduje przekierowanie widzów na phishingową stronę lub wyświetlenie sfałszowanej wiadomości.

WWBN AVideo do wersji 30.0 nie egzekwuje uwierzytelniania na endpointach report4.json.php i report4.1.json.php, co pozwala nieuwierzytelnionym użytkownikom na dostęp do statystyk rejestracji użytkowników. Atakujący mogą wysyłać żądania GET do tych endpointów, aby uzyskać dzienne i skumulowane liczby rejestracji bez sesji lub autoryzacji.

AVideo przed wersją 24.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji isSSRFSafeURL, która nie wyodrębnia osadzonych adresów IPv4 z formatów przejściowych IPv6 (NAT64, 6to4, Teredo). Nieuwierzytelnieni atakujący mogą ominąć ochronę SSRF przez punkt końcowy LiveLinks, aby dotrzeć do wewnętrznych usług i punktów końcowych metadanych chmury.

AVideo do commitu 9c39d8c8 zawiera podatność na obejście uwierzytelniania, gdzie deduplicateByEncoderQueueId() zwraca poświadczenia video_id_hash dla dowolnego wideo na podstawie encoder_queue_id bez weryfikacji własności, a useVideoHashOrLogin() konwertuje ten hash na logowanie bez hasła jako właściciel wideo. Atakujący z uprawnieniami do przesyłania mogą uzyskać video_id_hash administratora, pomijając parametr videos_id, a następnie użyć tego hasha w nieuwierzytelnionym żądaniu, aby uzyskać dostęp do sesji administracyjnej i zmodyfikować konfigurację systemu.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na obejście autoryzacji, gdzie getToken() tworzy tokeny bez powiązania z tożsamością użytkownika lub celem, a plugin/Gallery/view/sections.php wydaje ważne tokeny nieuwierzytelnionym odwiedzającym. Atakujący mogą pobrać token z punktu końcowego Galerii i użyć go do obejścia kontroli autoryzacji w innych podsystemach, takich jak view/hls.php, aby uzyskać dostęp do ograniczonych treści wideo.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w punkcie końcowym releaseVideoNow.json.php, który nie ma kontroli autentyczności i akceptuje żądania GET. Atakujący mogą stworzyć złośliwe żądanie GET z ciasteczkiem sesji administratora, aby trwale opublikować dowolne wideo z embargiem, manipulując parametrem videos_id.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na obejście autoryzacji w punkcie końcowym Users_affiliations add.json.php, która pozwala uwierzytelnionym użytkownikom na sfałszowanie zapisów dwustronnej zgody poprzez podanie znacznika czasu zgody drugiej strony. Atakujący mogą utworzyć sfałszowaną afiliację ze statusem 'a', a następnie przypisać własność wideo dowolnym użytkownikom przez punkt końcowy videoAddNew.json.php, który ufa sfałszowanej afiliacji jako warunkowi autoryzacji.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w objects/videoEditLight.php, która nie sprawdza autentyczności żądań i akceptuje żądania GET. Atakujący mogą przechowywać tag img w opisie wideo, który przenosi własność wideo na konto kontrolowane przez atakującego, gdy administrator przegląda stronę wideo.

AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w channelToGallery.json.php, która pozwala atakującym modyfikować konfigurację Galerii na poziomie całej witryny poprzez nieautoryzowane zapisy do danych wtyczki. Atakujący mogą stworzyć żądanie GET z ciasteczkiem sesji administratora, aby promować dowolne kanały na stronę główną lub usuwać wybrane sekcje bez walidacji tokena.

AVideo do commitu 9c39d8c8 zawiera podatność na ujawnienie informacji w feed/index.php, która pozwala nieuwierzytelnionym atakującym na pobranie adresów e-mail właścicieli kanałów poprzez podanie publicznej nazwy kanału. Atakujący mogą enumerować wszystkie adresy e-mail twórców, iterując po publicznych nazwach kanałów i wyciągając je z elementów RSS itunes:email i itunes:author, co umożliwia próby przejęcia kont i kampanie phishingowe.

AVideo nie dezynfekuje pola telefonu podczas rejestracji użytkownika, co pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwy JavaScript, który utrzymuje się w bazie danych. Gdy administrator odwiedza stronę zarządzania użytkownikami, niesprawdzona wartość telefonu jest renderowana przez innerHTML, wykonując wstrzyknięty skrypt w sesji przeglądarki administratora.

AVideo w wersjach od commita 0dbadbca do najnowszej zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w przepływie pobierania przez URL w encoderze. Wynika to z nieprzypiętego mechanizmu ponawiania, który omija walidację przypinania DNS. Uwierzytelniony atakujący może dostarczyć URL pobierania, który przekierowuje na wewnętrzny adres, powodując, że nieprzypięte ponowienie podąża za przekierowaniem i dociera do wewnętrznych celów.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach przed 29.0 oficjalna konfiguracja Docker compose udostępnia plik .env nieuwierzytelnionym użytkownikom. Plik .env zawiera dane uwierzytelniające do bazy danych, hasła administratora i konfigurację infrastruktury, a jest serwowany jako statyczny plik pod adresem /.env.

Podatność w AVideo do wersji 29.0 umożliwia wstrzyknięcie poleceń systemu operacyjnego przez endpoint ffmpeg.json.php. Parametry notifyCode i callback są łączone w polecenie powłoki bez odpowiedniego escapowania, co pozwala atakującemu na wykonanie dowolnych poleceń jako użytkownik serwera WWW.

W AVideo do wersji 29.0 w pliku plugin/API/standAlone/functions.php funkcja listFFmpegProcesses() interpoluje niesanitowane parametry keyword w pojedynczych cudzysłowach bez odpowiedniego escapowania. Atakujący, którzy mogą stworzyć poprawny zaszyfrowany payload codeToExec, mogą wyrwać się z kontekstu grep w pojedynczych cudzysłowach i wykonać dowolne polecenia systemu operacyjnego jako użytkownik serwera WWW.

Podatność typu Stored Cross-Site Scripting (XSS) w pluginie YouTubeAPI platformy AVideo (wersje 29.0 i starsze). Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez ustawienie tytułu filmu na YouTube, który jest następnie wyświetlany na stronie głównej AVideo bez kodowania HTML.

W AVideo przed wersją 29.0 występuje nieuwierzytelniona, odbita podatność XSS w paginacji galerii YouTubeAPI. Parametr $_GET['search'] jest bezpośrednio konkatenowany do atrybutu href linków paginacji bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript.

WWBN AVideo w wersji 29.0 i niższych zawiera podatność na trwały XSS w module WebSocket MessageSQLite. Atakujący może ominąć filtrowanie parametru autoEvalCodeOnHTML, umieszczając złośliwy kod w kluczu 'json' zamiast 'msg', co pozwala na wykonanie dowolnego JavaScriptu w przeglądarkach innych użytkowników.

Podatność XSS w AVideo (wtyczka Meet) pozwala atakującemu na przechowywanie złośliwego kodu JavaScript w nagłówku User-Agent podczas dołączania do publicznego spotkania. Kod ten jest następnie wyświetlany bez odpowiedniego kodowania w panelu zarządzania uczestnikami, co prowadzi do wykonania skryptu w sesji administratora lub gospodarza spotkania.