🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전의 MessageSQLite WebSocket 핸들러에서 autoEvalCodeOnHTML 파라미터를 통한 저장형 XSS 취약점이 존재합니다. 공격자는 sanitization이 적용되지 않는 json 키에 페이로드를 삽입하여 우회할 수 있으며, 패치는 아직 공식 릴리스되지 않았습니다.
💡 쉬운 설명
동영상 플랫폼의 채팅/메시지 기능에서 악성 스크립트를 숨겨 넣을 수 있는 문제입니다. 피해자가 메시지를 보면 공격자가 세션 정보를 훔쳐 계정을 장악할 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. Versions 29.0 and below contain a Stored XSS vulnerability through the autoEvalCodeOnHTML parameter in the MessageSQLite WebSocket Handler. The MessageSQLite.php handler only strips autoEvalCodeOnHTML from $json['msg'], but msgToResourceId() reads from $msg['json'] with higher priority. An attacker can place the XSS payload in the json key instead of msg, bypassing the sanitization entirely. An authenticated attacker can execute arbitrary JavaScript in any connected user's browser session via the WebSocket messaging system, stealing session cookies and authentication tokens, taking over accounts through session hijacking, and chaining with CSRF to perform admin actions on the victim's behalf, in the default SQLite WebSocket backend configuration. This issue has a patch that has yet to be officially released, see https://github.com/WWBN/AVideo/commit/3e0b3ce2bfa766183ff0ae227439394db57b1a23.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 버전 (기본 SQLite WebSocket 백엔드 구성)
⚔️ 공격 벡터
인증된 공격자가 WebSocket 메시지의 json 키에 XSS 페이로드를 넣어 전송하여 다른 접속 사용자의 브라우저에서 임의 JavaScript를 실행
🛡️ 대응 방법
공식 패치가 릴리스될 때까지 해당 커밋(3e0b3ce2bfa766183ff0ae227439394db57b1a23)을 적용하거나 WebSocket 메시지 처리 로직에서 json 키도 sanitization하도록 수정
🔧 검증 코드
autoEvalCodeOnHTML이 $json['msg']에만 적용되고 msgToResourceId가 $msg['json']을 우선 읽으면 취약하며, 패치 커밋이 반영되었다면 json 키에도 sanitization 코드가 존재해야 합니다.
grep -rn "autoEvalCodeOnHTML" /var/www/html/AVideo/plugin/YouPHPTube/ 2>/dev/null; grep -rn "msgToResourceId" /var/www/html/AVideo/ 2>/dev/null | head -5