🇰🇷 한글 설명
WWBN AVideo 26.0 및 이전 버전의 관리자 플러그인 설정 엔드포인트에서 CSRF 토큰 검증이 누락된 취약점이 발견되었습니다. 공격자는 SameSite=None 쿠키 정책과 보안 체크 우회 설정을 악용하여 관리자 세션을 통해 결제 프로세서나 인증 제공자 등 주요 플러그인 설정을 임의로 변경할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 악성 웹사이트를 방문하기만 해도, 공격자가 몰래 관리자 설정을 바꿔버릴 수 있는 보안 결함입니다. 이를 통해 공격자는 결제 수단이나 로그인 방식 등을 마음대로 조작하여 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, AVideo's admin plugin configuration endpoint (admin/save.json.php) lacks any CSRF token validation. There is no call to isGlobalTokenValid() or verifyToken() before processing the request. Combined with the application's explicit SameSite=None cookie policy, an attacker can forge cross-origin POST requests from a malicious page to overwrite arbitrary plugin settings on a victim administrator's session. Because the plugins table is included in the ignoreTableSecurityCheck() array in objects/Object.php, standard table-level access controls are also bypassed. This allows a complete takeover of platform functionality by reconfiguring payment processors, authentication providers, cloud storage credentials, and more. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
WWBN AVideo 26.0 및 그 이전 모든 버전
⚔️ 공격 벡터
CSRF(교차 사이트 요청 위조)를 이용한 악성 POST 요청 전송
🛡️ 대응 방법
공식 보안 패치가 출시될 때까지 관리자 페이지 접근을 제한하거나, CSRF 토큰 검증 로직을 수동으로 적용해야 합니다.
🔧 검증 코드
해당 엔드포인트 요청 시 CSRF 토큰 검증 관련 응답이나 요구사항이 없는지 확인하여 취약 여부를 판단합니다.
curl -s http://<target_ip>/admin/save.json.php | grep -E 'CSRF|token' || echo 'No token validation found'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access