🇰🇷 한글 설명
오픈 소스 비디오 플랫폼인 WWBN AVideo의 26.0 및 이전 버전에서 발생합니다. 인증 없이 접근 가능한 plugin/API/check.ffmpeg.json.php 엔드포인트가 FFmpeg 원격 서버 설정을 조사하고 연결 상태를 반환합니다.
💡 쉬운 설명
로그인하지 않은 외부 사용자도 비디오 처리 서버의 설정 상태를 몰래 확인할 수 있는 보안 약점이 있습니다. 이는 공격자가 시스템의 내부 정보를 파악하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the plugin/API/check.ffmpeg.json.php endpoint probes the FFmpeg remote server configuration and returns connectivity status without any authentication. All sibling FFmpeg management endpoints (kill.ffmpeg.json.php, list.ffmpeg.json.php, ffmpeg.php) require User::isAdmin().
📍 영향받는 시스템
WWBN AVideo 26.0 및 그 이전 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 특정 API 엔드포인트에 HTTP 요청을 보내 서버 정보를 수집
🛡️ 대응 방법
최신 보안 패치가 적용된 버전으로 업데이트하거나 해당 API 엔드포인트에 대한 접근 권한을 제한
🔧 검증 코드
명령어 결과로 HTTP 200 OK 응답이 오면 인증 없이 정보 노출이 가능한 취약한 상태입니다.
curl -s -I http://<target-ip>/plugin/API/check.ffmpeg.json.php | grep 'HTTP/1.1 200 OK'