🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전에서 objects/commentDelete.json.php 엔드포인트가 CSRF 검증 없이 댓글 삭제를 수행합니다. session.cookie_samesite=None 설정으로 인해 공격자 페이지 방문만으로 인증된 사용자의 댓글이 대량 삭제될 수 있습니다.
💡 쉬운 설명
로그인한 관리자나 작성자가 악성 웹페이지를 방문하면 본인도 모르게 댓글이 삭제될 수 있습니다. 수정 커밋 184f36b1896f3364f864f17c1acca3dd8df3af27을 적용하면 이를 막을 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions 29.0 and prior, `objects/commentDelete.json.php` is a state-mutating JSON endpoint that deletes comments but performs no CSRF validation. It does not call `forbidIfIsUntrustedRequest()`, does not verify a CSRF/global token, and does not check `Origin`/`Referer`. Because AVideo intentionally sets `session.cookie_samesite=None` (to support cross-origin embed players), a cross-site request from any attacker-controlled page automatically carries the victim's `PHPSESSID`. Any authenticated victim who has authority to delete one or more comments (site moderators, video owners, and comment authors) can be tricked into deleting comments en masse simply by visiting an attacker page. Commit 184f36b1896f3364f864f17c1acca3dd8df3af27 contains a fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 버전
⚔️ 공격 벡터
인증된 피해자가 공격자가 만든 페이지를 방문하면 크로스사이트 요청으로 commentDelete.json.php가 호출되어 댓글이 삭제됨
🛡️ 대응 방법
AVideo를 커밋 184f36b1896f3364f864f17c1acca3dd8df3af27이 포함된 최신 버전으로 업데이트
🔧 검증 코드
출력에 forbidIfIsUntrustedRequest 호출 라인이 있으면 CSRF 검증이 적용된 패치 버전이고, 출력이 없으면 취약 버전일 가능성이 높습니다.
grep -n 'forbidIfIsUntrustedRequest' $(find / -path '*/objects/commentDelete.json.php' 2>/dev/null | head -1) 2>/dev/null