🇰🇷 한글 설명
WWBN AVideo 26.0 이하 버전의 plugin/PlayLists/View/Playlists_schedules/add.json.php 엔드포인트에서, 스트리밍 권한만 있는 인증된 사용자가 소유권과 관계없이 플랫폼의 모든 재생목록에 대한 방송 일정을 생성하거나 수정할 수 있습니다. 일정이 실행되면 재방송이 피해자 재생목록 소유자의 권한으로 수행되어 콘텐츠 탈취 및 스트림 중단이 가능합니다. 패치는 커밋 1e6dc20172de986f60641eb4fdb4090f079ffdce에 포함되어 있습니다.
💡 쉬운 설명
일반 사용자가 다른 사람의 재생목록 방송 예약을 몰래 바꿀 수 있는 취약점입니다. 이로 인해 다른 사람의 콘텐츠가 가로채이거나 방송이 중단될 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, the `plugin/PlayLists/View/Playlists_schedules/add.json.php` endpoint allows any authenticated user with streaming permission to create or modify broadcast schedules targeting any playlist on the platform, regardless of ownership. When the schedule executes, the rebroadcast runs under the victim playlist owner's identity, allowing content hijacking and stream disruption. Commit 1e6dc20172de986f60641eb4fdb4090f079ffdce contains a patch.
📍 영향받는 시스템
WWBN AVideo 26.0 이하 버전
⚔️ 공격 벡터
스트리밍 권한이 있는 인증된 사용자가 add.json.php 엔드포인트에 요청을 보내 타인 소유 재생목록의 방송 일정을 생성·수정
🛡️ 대응 방법
AVideo를 커밋 1e6dc20172de986f60641eb4fdb4090f079ffdce 이상의 최신 버전으로 업데이트하고 재생목록 소유권 검증 로직을 확인
🔧 검증 코드
소유권 검사 코드(ownerId, isOwner, canEdit 등)가 출력되면 패치가 적용된 것으로 볼 수 있고, 결과가 없으면 취약한 상태일 가능성이 높습니다.
grep -n 'ownerId\|isOwner\|canEdit' /var/www/html/AVideo/plugin/PlayLists/View/Playlists_schedules/add.json.php 2>/dev/null