🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전의 objects/functions.php에 있는 allowOrigin($allowAll=true) 함수가 임의의 Origin 헤더를 Access-Control-Allow-Origin에 그대로 반영하고 Access-Control-Allow-Credentials: true를 함께 설정합니다. 이 함수는 plugin/API/get.json.php와 plugin/API/set.json.php에서 호출되며, SameSite=None 세션 쿠키와 결합되어 악성 웹사이트가 인증된 사용자의 API 응답을 읽고 상태를 변경할 수 있습니다. 수정 커밋은 caf705f38eae0ccfac4c3af1587781355d24495e입니다.
💡 쉬운 설명
사용자가 로그인한 상태에서 악성 웹사이트를 방문하면, 그 사이트가 AVideo 서버의 API에 몰래 요청을 보내 개인정보와 라이브 방송 키를 빼낼 수 있습니다. 공격자는 피해자 대신 계정에서 이런 작업을 수행할 수도 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions 29.0 and below, the `allowOrigin($allowAll=true)` function in `objects/functions.php` reflects any arbitrary `Origin` header back in `Access-Control-Allow-Origin` along with `Access-Control-Allow-Credentials: true`. This function is called by both `plugin/API/get.json.php` and `plugin/API/set.json.php` — the primary API endpoints that handle user data retrieval, authentication, livestream credentials, and state-changing operations. Combined with the application's `SameSite=None` session cookie policy, any website can make credentialed cross-origin requests and read authenticated API responses, enabling theft of user PII, livestream keys, and performing state changes on behalf of the victim. Commit caf705f38eae0ccfac4c3af1587781355d24495e contains a fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 버전
⚔️ 공격 벡터
피해자가 로그인된 상태에서 공격자의 웹페이지를 방문하면, 해당 페이지가 Origin을 위조한 교차 출처 요청으로 AVideo API에서 인증된 데이터를 탈취하거나 상태 변경 요청을 보냅니다.
🛡️ 대응 방법
커밋 caf705f38eae0ccfac4c3af1587781355d24495e를 적용하거나 AVideo를 29.0 초과 버전으로 업그레이드하고, 허용된 Origin만 명시적으로 허용하도록 설정합니다.
🔧 검증 코드
출력된 allowOrigin 함수 본문에서 HTTP_ORIGIN 값을 무조건 그대로 반사하는 코드가 남아 있으면 취약하고, Origin 화이트리스트 검사가 있으면 패치된 것입니다.
grep -n 'allowOrigin' $(find / -path '*/objects/functions.php' -path '*AVideo*' 2>/dev/null | head -1) 2>/dev/null | head -5