🇰🇷 한글 설명
WWBN AVideo 오픈소스 비디오 플랫폼의 26.0 이하 버전에서, 콘텐츠 소유자가 개별 영상에 설정한 비밀번호가 해싱이나 암호화 없이 데이터베이스에 평문으로 저장됩니다. 공격자가 SQL 인젝션, 데이터베이스 백업 유출, 잘못된 접근 제어 등으로 DB를 읽을 수 있으면 모든 영상 비밀번호를 그대로 확보할 수 있습니다. 커밋 f2d68d2adbf73588ea61be2b781d93120a819e36에서 패치가 제공됩니다.
💡 쉬운 설명
동영상에 걸어둔 잠금 비밀번호가 암호화되지 않은 채 데이터베이스에 그대로 저장되어 있습니다. 누군가 데이터베이스 내용을 훔쳐보면 모든 영상의 비밀번호를 바로 알 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, AVideo allows content owners to password-protect individual videos. The video password is stored in the database in plaintext — no hashing, salting, or encryption is applied. If an attacker gains read access to the database (via SQL injection, a database backup, or misconfigured access controls), they obtain all video passwords in cleartext. Commit f2d68d2adbf73588ea61be2b781d93120a819e36 contains a patch.
📍 영향받는 시스템
WWBN AVideo 26.0 이하 버전 (패치 커밋 f2d68d2adbf73588ea61be2b781d93120a819e36 미적용 시업데이트 필요)
⚔️ 공격 벡터
SQL 인젝션 또는 DB 백업 파일/잘못된 접근 권한을 통해 video 테이블의 평문 비밀번호 열람
🛡️ 대응 방법
AVideo를 패치된 최신 버전(커밋 f2d68d2adbf73588ea61be2b781d93120a819e36 이후)으로 업데이트하고, 기존 영상 비밀번호를 해싱 처리 및 DB 백업 접근 권한을 점검
🔧 검증 코드
출력값이 1 이상이면 패치 커밋이 포함되어 있는 것이고, 0이면 패치가 적용되지 않은 상태로 업데이트가 필요합니다 (설치 경로가 다르면 경로를 수정하세요).
cd /var/www/html/AVideo 2>/dev/null && git log --oneline | grep -c f2d68d2adbf73588ea61be2b781d93120a819e36