🇰🇷 한글 설명
WWBN AVideo 26.0 이하 버전의 plugin/YPTWallet/YPTWallet.php에 있는 transferBalance() 메서드에서 TOCTOU 경쟁 조건이 발견되었습니다. 잔액 확인과 갱신이 트랜잭션이나 행 단위 잠금 없이 수행되어, 동시 요청 시 한 번만 차감되고 수신자에게는 여러 번 입금될 수 있습니다. 수정 커밋 34132ad5159784bfc7ba0d7634bb5c79b769202d이 제공되었습니다.
💡 쉬운 설명
여러 요청을 동시에 보내면 잔액 확인이 같은 시점의 값을 기준으로 여러 번 통과될 수 있습니다. 그 결과 돈은 한 번만 빠져나가지만 받는 사람에게는 여러 번 입금되는 문제가 생깁니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, the `transferBalance()` method in `plugin/YPTWallet/YPTWallet.php` contains a Time-of-Check-Time-of-Use (TOCTOU) race condition. The method reads the sender's wallet balance, checks sufficiency in PHP, then writes the new balance — all without database transactions or row-level locking. An attacker with multiple authenticated sessions can send concurrent transfer requests that all read the same stale balance, each passing the balance check independently, resulting in only one deduction being applied while the recipient is credited multiple times. Commit 34132ad5159784bfc7ba0d7634bb5c79b769202d contains a fix.
📍 영향받는 시스템
WWBN AVideo 26.0 이하 버전 (YPTWallet 플러그인 사용 환경)
⚔️ 공격 벡터
인증된 사용자가 여러 세션에서 동일 잔액을 기준으로 송금 요청을 동시에 전송하여 잔액 검사를 우회
🛡️ 대응 방법
AVideo를 수정 커밋 34132ad5159784bfc7ba0d7634bb5c79b769202d 이상 버전으로 업데이트하거나, 트랜잭션과 행 잠금(SELECT ... FOR UPDATE)을 적용
🔧 검증 코드
결과가 1 이상이면 수정 커밋이 포함된 것이고, 0이면 패치가 적용되지 않은 취약 상태입니다.
cd /path/to/AVideo && git log --oneline | grep -c 34132ad5159784bfc7ba0d7634bb5c79b769202d