🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전에서 인증되지 않은 사용자가 objects/plugins.json.php 파일을 통해 APISecret 값을 읽을 수 있습니다. 이 값을 이용하면 로그인 없이 users_list 등 보호된 API 엔드포인트를 호출할 수 있습니다. 수정 사항은 커밋 1c36f229d0a103528fb9f64d0a1cc0e1e8f5999b에 포함되어 있습니다.
💡 쉬운 설명
공격자가 로그인하지 않고도 비밀 키를 훔쳐 사용자 목록 같은 민감한 정보를 볼 수 있는 문제입니다. 해당 커밋이 반영된 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 29.0, an unauthenticated user can read APISecret from objects/plugins.json.php and use it to call protected API endpoints (e.g. users_list) without logging in. Commit 1c36f229d0a103528fb9f64d0a1cc0e1e8f5999b contains an updated fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 모든 버전
⚔️ 공격 벡터
인증 없이 objects/plugins.json.php에 접근해 APISecret을 획득한 뒤, 이를 이용해 보호된 API(users_list 등)를 호출
🛡️ 대응 방법
커밋 1c36f229d0a103528fb9f64d0a1cc0e1e8f5999b가 포함된 최신 버전으로 업데이트하고, 노출된 APISecret을 교체
🔧 검증 코드
200 응답이면 파일이 외부에 노출되어 취약할 가능성이 있고, 403 또는 404면 접근이 차단된 상태입니다. 응답 본문에 APISecret이 보이면 즉시 패치와 키 교체가 필요합니다.
curl -s -o /dev/null -w '%{http_code}' http://localhost/objects/plugins.json.php