🇰🇷 한글 설명
WWBN AVideo 26.0 이하 버전의 get_api_video_file 및 get_api_video API 엔드포인트는 비밀번호로 보호된 영상에 대해 비밀번호 검증 없이 직접 재생 URL(MP4, HLS 매니페스트)을 반환합니다. 일반 웹 재생 흐름에는 비밀번호 확인 훅이 적용되어 있으나 API 경로에는 이 검증이 빠져 있어, 인증되지 않은 공격자도 API를 직접 호출해 보호된 영상의 재생 소스를 획득할 수 있습니다. 해당 문제는 커밋 be344206f2f461c034ad2f1c5d8212dd8a52b8c7에서 수정되었습니다.
💡 쉬운 설명
비밀번호를 걸어 숨긴 동영상도 API 주소를 직접 호출하면 실제 영상 파일 주소를 누구나 가져올 수 있는 문제입니다. 비밀번호 확인이 웹 화면에만 있고 API에는 빠져 있어 생긴 결함입니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, the `get_api_video_file` and `get_api_video` API endpoints in AVideo return full video playback sources (direct MP4 URLs, HLS manifests) for password-protected videos without verifying the video password. While the normal web playback flow enforces password checks via the `CustomizeUser::getModeYouTube()` hook, this enforcement is completely absent from the API code path. An unauthenticated attacker can retrieve direct playback URLs for any password-protected video by calling the API directly. Commit be344206f2f461c034ad2f1c5d8212dd8a52b8c7 fixes the issue.
📍 영향받는 시스템
WWBN AVideo 26.0 이하 버전
⚔️ 공격 벡터
인증 없이 get_api_video_file / get_api_video API를 직접 호출해 비밀번호 보호 영상의 MP4·HLS 재생 URL을 획득
🛡️ 대응 방법
be344206f2f461c034ad2f1c5d8212dd8a52b8c7 커밋이 반영된 버전으로 AVideo를 업데이트
🔧 검증 코드
PATCHED가 출력되면 수정 커밋이 포함된 것이고, NOT_PATCHED_OR_NOT_FOUND가 출력되면 수정되지 않았거나 설치 경로가 다른 것이므로 설치 위치와 버전을 직접 확인해야 합니다.
cd /var/www/html/AVideo 2>/dev/null && git log --oneline | grep -q be344206 && echo PATCHED || echo NOT_PATCHED_OR_NOT_FOUND