🇰🇷 한글 설명
WWBN AVideo 26.0 이하 버전에서 plugin/YPTSocket/functions.php의 verifyTokenSocket() 함수 내 토큰 만료 검증이 주석 처리되어 있어, 12시간으로 생성된 WebSocket 토큰이 만료되지 않습니다. 이로 인해 탈취되거나 정당하게 획득한 토큰으로 계정 삭제·차단·권한 강등 이후에도 영구적인 WebSocket 접근이 가능하며, 관리자 토큰은 모든 온라인 사용자의 IP 주소, 브라우저 정보, 페이지 위치 등 실시간 연결 데이터에 접근할 수 있습니다.
💡 쉬운 설명
한 번 발급된 로그인용 실시간 연결 열쇠가 만료되지 않아, 계정이 삭제되거나 권한이 빼앗겨도 계속 사용할 수 있습니다. 관리자용 열쇠라면 모든 접속자의 IP와 활동 정보를 볼 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, the `verifyTokenSocket()` function in `plugin/YPTSocket/functions.php` has its token timeout validation commented out, causing WebSocket tokens to never expire despite being generated with a 12-hour timeout. This allows captured or legitimately obtained tokens to provide permanent WebSocket access, even after user accounts are deleted, banned, or demoted from admin. Admin tokens grant access to real-time connection data for all online users including IP addresses, browser info, and page locations. Commit 5d5237121bf82c24e9e0fdd5bc1699f1157783c5 fixes the issue.
📍 영향받는 시스템
WWBN AVideo 26.0 이하 버전 (수정 커밋: 5d5237121bf82c24e9e0fdd5bc1699f1157783c5)
⚔️ 공격 벡터
탈취 또는 정당하게 획득한 WebSocket 토큰을 재사용하여 계정 상태와 무관하게 영구적으로 실시간 WebSocket 연결 데이터에 접근
🛡️ 대응 방법
AVideo를 수정 커밋 5d5237121bf82c24e9e0fdd5bc1699f1157783c5이 포함된 버전으로 업데이트하고, 기존 WebSocket 토큰을 무효화하기 위해 세션/토큰을 재발급
🔧 검증 코드
토큰 만료 검증 로직이 활성화되어 있으면(주석 해제, 만료 시간 비교 코드 존재) 패치된 것이며, 해당 검사 코드가 주석 처리되어 있거나 결과가 없으면 취약한 상태입니다.
grep -n 'timeout' plugin/YPTSocket/functions.php 2>/dev/null | grep -i 'token'