🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전에서 웹 루트의 git.json.php 파일이 인증 없이 git log -1 실행 결과를 JSON으로 반환합니다. 이로 인해 배포된 커밋 해시, 개발자 이름과 이메일, 커밋 메시지가 노출됩니다.
💡 쉬운 설명
누구나 인터넷에서 이 영상 플랫폼의 정확한 버전과 개발자 연락처를 알아낼 수 있습니다. 이 정보는 다른 취약점을 찾는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions 29.0 and prior, the file `git.json.php` at the web root executes `git log -1` and returns the full output as JSON to any unauthenticated user. This exposes the exact deployed commit hash (enabling version fingerprinting against known CVEs), developer names and email addresses (PII), and commit messages which may contain references to internal systems or security fixes. As of time of publication, no known patched versions are available.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 버전 (git.json.php 파일 포함 설치본)
⚔️ 공격 벡터
인증 없이 브라우저나 curl로 /git.json.php 경로에 접속해 커밋 정보와 개발자 정보를 조회
🛡️ 대응 방법
git.json.php 파일을 삭제하거나 웹 접근을 차단하고, 패치 버전이 나오면 즉시 업데이트 (현재 패치 버전 미공개)
🔧 검증 코드
200이면 파일이 노출된 상태이므로 취약하고, 403 또는 404이면 접근이 차단되었거나 파일이 없는 상태입니다.
curl -s -o /dev/null -w '%{http_code}' http://localhost/git.json.php