🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전의 objects/users.json.php에는 인증 없이 접근 가능한 두 경로가 있어 등록된 전체 사용자 계정 정보가 노출됩니다. isCompany 파라미터 조작으로 관리자 제한이 우회되며, users_id 파라미터로 개별 사용자 정보도 조회할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 누구나 영상 플랫폼에 가입된 사용자 목록과 기본 프로필 정보를 볼 수 있는 취약점입니다. 공격자는 이를 이용해 계정 정보를 수집하여 후속 공격에 활용할 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 29.0, objects/users.json.php exposes two unauthenticated paths that disclose the full set of registered user accounts. The isCompany request parameter causes the handler to set $ignoreAdmin = true for any non-admin caller (including unauthenticated visitors), which defeats the admin-only guard inside User::getAllUsers()/User::getTotalUsers(). A second path accepts users_id and calls User::getUserFromID() directly with no permission check, producing a single-user oracle. Both paths return id, identification (display name), channel URL, photo, background, and status, plus the total account count. Commit d9cdc702481a626b15f814f6093f1e2a9c20d375 contains an updated fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 버전 (수정 커밋: d9cdc702481a626b15f814f6093f1e2a9c20d375)
⚔️ 공격 벡터
비인증 상태에서 objects/users.json.php에 isCompany 파라미터 또는 users_id 파라미터를 포함한 HTTP 요청을 보내 사용자 정보를 조회
🛡️ 대응 방법
AVideo를 커밋 d9cdc702481a626b15f814f6093f1e2a9c20d375 이후 버전으로 업데이트하거나 해당 패치를 적용
🔧 검증 코드
출력에 ignoreAdmin = true 설정이 isCompany 조건에 따라 무조건 적용되는 코드가 보이면 취약, 권한 검사가 추가되어 있거나 결과가 없으면 패치 또는 미설치 상태로 판단
grep -n 'ignoreAdmin' $(find /var/www -path '*/objects/users.json.php' 2>/dev/null | head -1) 2>/dev/null