🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전에서 YPTSocket의 autoEvalCodeOnHTML eval 싱크에 대한 서버측 방어(CVE-2026-40911 수정)가 불완전하여, $json['msg'] 아래에 있는 페이로드만 제거되고 $json['json'] 경로는 우회됩니다. 인증되지 않은 공격자가 WebSocket을 통해 조작된 메시지를 전송하면 이 페이로드가 로그인된 사용자에게 그대로 전달되어 클라이언트에서 eval()로 실행될 수 있습니다. 수정 커밋 9f3006f9a89a34daa67a83c6ad35f450cb91fcce에서 이를 해결합니다.
💡 쉬운 설명
동영상 플랫폼의 실시간 채팅 기능에서 방어 로직의 허점을 이용해 악성 스크립트를 다른 사용자 화면에 몰래 실행시킬 수 있습니다. 로그인하지 않은 사람도 이 공격을 시도할 수 있어 위험합니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 29.0, the server-side mitigation for the YPTSocket autoEvalCodeOnHTML eval sink (from CVE-2026-40911) only strips the payload when it sits under $json['msg'], but the relay function msgToResourceId() selects the outbound message from $msg['json'] before $msg['msg']. An unauthenticated attacker can obtain a WebSocket token from plugin/YPTSocket/getWebSocket.json.php, connect to the WebSocket server, and send a message with autoEvalCodeOnHTML nested under a top-level json field — the strip branch is skipped, the relay delivers the payload verbatim to any logged-in user identified by to_users_id, and the client script runs it through eval(). Commit 9f3006f9a89a34daa67a83c6ad35f450cb91fcce contains an updated fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 모든 버전 (수정 커밋 9f3006f9a89a34daa67a83c6ad35f450cb91fcce 적용 필요)
⚔️ 공격 벡터
비인증 공격자가 getWebSocket.json.php에서 토큰을 얻은 뒤, json 최상위 필드에 autoEvalCodeOnHTML을 중첩한 메시지를 WebSocket으로 보내 방어를 우회하고 로그인 사용자 브라우저에서 임의 JavaScript를 실행
🛡️ 대응 방법
AVideo를 수정 커밋 9f3006f9a89a34daa67a83c6ad35f450cb91fcce 이후 버전으로 업데이트하고, 업데이트 전까지 YPTSocket 플러그인을 비활성화하거나 WebSocket 메시지 처리 경로를 제한
🔧 검증 코드
결과에 msgToResourceId 관련 코드에서 $msg['json']이 $msg['msg']보다 먼저 참조되고 autoEvalCodeOnHTML 제거 로직이 없으면 취약하며, 아무 결과도 없거나 해당 경로에 제거 처리가 있으면 패치된 것으로 판단합니다.
grep -rn "json\['json'\]" $(find / -path '*YPTSocket*' -name '*.php' 2>/dev/null) 2>/dev/null | head -n 5