🇰🇷 한글 설명
WWBN AVideo 오픈소스 비디오 플랫폼의 29.0 이하 버전에서 test.php의 수정이 불완전하여, wget 경로에만 escapeshellarg가 적용되고 file_get_contents 및 curl 경로는 입력값이 검증되지 않은 상태로 남아 있습니다. 또한 URL 검증 정규식 /^http/이 httpevil.com과 같은 문자열을 허용하여 우회가 가능합니다. 커밋 78bccae74634ead68aa6528d631c9ec4fd7aa536에 업데이트된 수정 사항이 포함되어 있습니다.
💡 쉬운 설명
AVideo라는 동영상 플랫폼의 특정 기능에서 보안 점검이 충분하지 않아, 공격자가 악성 주소를 넣어 서버를 조작할 수 있습니다. 제작사가 제공한 최신 수정 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 29.0, an incomplete fix for AVideo's `test.php` adds `escapeshellarg` for wget but leaves the `file_get_contents` and `curl` code paths unsanitized, and the URL validation regex `/^http/` accepts strings like `httpevil[.]com`. Commit 78bccae74634ead68aa6528d631c9ec4fd7aa536 contains an updated fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 모든 버전
⚔️ 공격 벡터
test.php의 URL 파라미터에 httpevil.com 같은 우회 문자열이나 셸 명령을 삽입하여 원격 코드 실행 또는 SSRF를 유발
🛡️ 대응 방법
커밋 78bccae74634ead68aa6528d631c9ec4fd7aa536 이상이 반영된 최신 버전으로 업데이트하고, test.php 접근을 차단하거나 URL 검증을 엄격한 화이트리스트 방식으로 강화
🔧 검증 코드
출력에 file_get_contents나 curl 호출이 escapeshellarg 없이 URL 입력값과 함께 사용되면 취약한 상태이며, 출력이 없거나 파일이 없으면 AVideo가 설치되지 않은 것입니다.
grep -n 'escapeshellarg\|file_get_contents\|curl' $(find / -name test.php -path '*AVideo*' 2>/dev/null | head -1) 2>/dev/null