🇰🇷 한글 설명
AVideo 8.1.0 이전 버전의 익명 로그인 인터페이스는 요청 값을 출력 인코딩 없이 HTML과 JavaScript에 반사합니다. 이로 인해 조작된 로그인 링크를 통해 인증되지 않은 공격자가 피해자 브라우저에서 임의의 JavaScript를 실행할 수 있으며, 이 issue는 8.1.0 버전에서 수정되었습니다.
💡 쉬운 설명
AVideo 동영상 플랫폼의 로그인 페이지가 입력값을 안전하게 처리하지 않아 악성 링크로 관리자의 세션이나 로그인 정보가 탈취될 수 있습니다. 관리자가 해당 링크를 열면 공격자가 관리자 권한으로 시스템을 조작할 수 있습니다.
🇺🇸 원문 (English)
AVideo is a video-sharing Platform. Prior to 8.1.0, the anonymous login interface reflects request values into HTML and JavaScript without output encoding. In `view/index.php`, `webSiteRootURL` is returned verbatim by `Streamer::getStreamerURL()` in `objects/Streamer.php` and reaches navigation and form attributes; it also enters a single-quoted JavaScript string in `view/index.header.php`. It is not filtered by `objects/security.php`, while the `user` and `pass` fields are filtered only for single quotes, leaving double quotes and angle brackets capable of breaking out of their HTML attributes. In addition, `view/index.header.php` reflects POST fields using `json_encode` without `JSON_HEX_TAG`, allowing a closing script tag to break out, and `locale/function.php` stores the POST `lang` value in the session for unescaped reflection in `view/index.php`. An unauthenticated remote attacker who persuades a victim to open a crafted login link can execute arbitrary JavaScript in the encoder's origin. This can read the operator session identifier exposed in inline script, capture login credentials and perform actions as the operator against the encoder and its upstream platform. This issue is fixed in version 8.1.0.
📍 영향받는 시스템
AVideo 8.1.0 미만 버전
⚔️ 공격 벡터
공격자가 조작된 로그인 링크를 만들어 피해자(관리자)가 클릭하도록 유도하면 해당 origin에서 악성 스크립트가 실행됨
🛡️ 대응 방법
AVideo를 8.1.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 값이 8.1.0 미만이면 취약하며, 8.1.0 이상이면 패치가 적용된 것입니다. 경로는 설치 환경에 맞게 수정이 필요합니다.
grep -rn 'version' /var/www/html/version.php 2>/dev/null || grep -rn 'AVideo' /var/www/html/*.php 2>/dev/null | head -5