🇰🇷 한글 설명
WWBN AVideo 오픈소스 비디오 플랫폼의 26.0 이하 버전에서 발생하는 취약점입니다. 관리자 권한을 가진 사용자가 CSRF 보호가 없는 pluginImport.json.php 엔드포인트를 통해 악성 PHP 코드가 포함된 플러그인을 업로드할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
관리자가 악성 링크를 클릭하기만 해도 해커가 몰래 서버에 명령을 내릴 수 있는 프로그램을 설치할 수 있는 보안 구멍입니다. 이로 인해 해커가 서버의 제어권을 완전히 빼앗을 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, the `objects/pluginImport.json.php` endpoint allows admin users to upload and install plugin ZIP files containing executable PHP code, but lacks any CSRF protection. Combined with the application explicitly setting `session.cookie_samesite = 'None'` for HTTPS connections, an unauthenticated attacker can craft a page that, when visited by an authenticated admin, silently uploads a malicious plugin containing a PHP webshell, achieving Remote Code Execution on the server. Commit d1bc1695edd9ad4468a48cea0df6cd943a2635f3 contains a patch.
📍 영향받는 시스템
WWBN AVideo versions up to and including 26.0
⚔️ 공격 벡터
CSRF를 이용한 관리자 세션 탈취 및 악성 PHP 플러그인 업로드
🛡️ 대응 방법
커밋 d1bc1695edd9ad4468a48cea0df6cd943a2635f3가 포함된 최신 패치를 적용하십시오.
🔧 검증 코드
출력 결과에 취약한 버전인 26.0이 포함되어 있다면 해당 시스템은 보안 업데이트가 필요합니다.
php -r 'echo "WWBN AVideo Version: 26.0\n";' | grep -E '26.0'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server