🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전에서 objects/ 아래 여러 JSON 엔드포인트가 CSRF 토큰, Origin, Referer 검증 없이 $_REQUEST/$_GET으로 상태 변경 요청을 받아 로그인한 사용자의 세션으로 처리합니다. 이로 인해 악성 페이지를 방문한 피해자의 댓글 좋아요/싫어요 조작, 피해자 명의 댓글 작성, 카테고리 자산 삭제가 가능합니다. 수정 커밋 7aaad601bd9cd7b993ba0ee1b1bea6c32ee7b77c에서 이를 보완했습니다.
💡 쉬운 설명
로그인한 상태에서 공격자가 만든 웹페이지를 열면, 사용자도 모르게 댓글 추천이나 댓글 작성 같은 동작이 실행될 수 있습니다. 관리 권한이 있는 사용자라면 카테고리의 파일이 삭제될 수도 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions 29.0 and prior, multiple AVideo JSON endpoints under `objects/` accept state-changing requests via `$_REQUEST`/`$_GET` and persist changes tied to the caller's session user, without any anti-CSRF token, origin check, or referer check. A malicious page visited by a logged-in victim can silently cast/flip the victim's like/dislike on any comment (`objects/comments_like.json.php`), post a comment authored by the victim on any video, with attacker-chosen text (`objects/commentAddNew.json.php`), and/or delete assets from any category (`objects/categoryDeleteAssets.json.php`) when the victim has category management rights. Each endpoint is reachable from a browser via a simple `<img src="…">` tag or form submission, so exploitation only requires the victim to load an attacker-controlled HTML resource. Commit 7aaad601bd9cd7b993ba0ee1b1bea6c32ee7b77c contains a fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 버전
⚔️ 공격 벡터
로그인한 피해자가 공격자가 제작한 HTML(예: img 태그나 자동 제출 폼이 포함된 페이지)을 방문하면 CSRF로 해당 엔드포인트가 호출됨
🛡️ 대응 방법
AVideo를 수정 커밋 7aaad601bd9cd7b993ba0ee1b1bea6c32ee7b77c 이후 버전으로 업데이트하고, 상태 변경 엔드포인트에 CSRF 토큰 검증을 적용
🔧 검증 코드
결과에 $_REQUEST/$_GET 기반 입력 처리가 그대로 보이고 CSRF 토큰 검증 코드가 없다면 취약하며, 수정 버전에서는 토큰 검사 로직이 추가되어 있어야 합니다.
grep -rn "\$_REQUEST" objects/comments_like.json.php objects/commentAddNew.json.php objects/categoryDeleteAssets.json.php