Podatności AVideo

Podatność w AVideo do wersji 29.0 umożliwia wstrzyknięcie poleceń systemu operacyjnego przez endpoint ffmpeg.json.php. Parametry notifyCode i callback są łączone w polecenie powłoki bez odpowiedniego escapowania, co pozwala atakującemu na wykonanie dowolnych poleceń jako użytkownik serwera WWW.

W AVideo do wersji 29.0 w pliku plugin/API/standAlone/functions.php funkcja listFFmpegProcesses() interpoluje niesanitowane parametry keyword w pojedynczych cudzysłowach bez odpowiedniego escapowania. Atakujący, którzy mogą stworzyć poprawny zaszyfrowany payload codeToExec, mogą wyrwać się z kontekstu grep w pojedynczych cudzysłowach i wykonać dowolne polecenia systemu operacyjnego jako użytkownik serwera WWW.

Podatność typu Stored Cross-Site Scripting (XSS) w pluginie YouTubeAPI platformy AVideo (wersje 29.0 i starsze). Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez ustawienie tytułu filmu na YouTube, który jest następnie wyświetlany na stronie głównej AVideo bez kodowania HTML.

W AVideo przed wersją 29.0 występuje nieuwierzytelniona, odbita podatność XSS w paginacji galerii YouTubeAPI. Parametr $_GET['search'] jest bezpośrednio konkatenowany do atrybutu href linków paginacji bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript.

WWBN AVideo w wersji 29.0 i niższych zawiera podatność na trwały XSS w module WebSocket MessageSQLite. Atakujący może ominąć filtrowanie parametru autoEvalCodeOnHTML, umieszczając złośliwy kod w kluczu 'json' zamiast 'msg', co pozwala na wykonanie dowolnego JavaScriptu w przeglądarkach innych użytkowników.

Podatność XSS w AVideo (wtyczka Meet) pozwala atakującemu na przechowywanie złośliwego kodu JavaScript w nagłówku User-Agent podczas dołączania do publicznego spotkania. Kod ten jest następnie wyświetlany bez odpowiedniego kodowania w panelu zarządzania uczestnikami, co prowadzi do wykonania skryptu w sesji administratora lub gospodarza spotkania.

Podatność w AVideo do wersji 25.0 umożliwia nieuwierzytelnionym atakującym ominięcie mechanizmu uwierzytelniania w endpointcie decryptMessage.json.php. Pozwala to na zdalne odszyfrowywanie wiadomości PGP bez podawania poświadczeń, co naraża klucze prywatne na zapis w logach i umożliwia ataki typu wyczerpanie zasobów.

AVideo w wersji do 27.0 zawiera podatność typu server-side request forgery w pliku plugin/Live/test.php, która pozwala uwierzytelnionym administratorom na odczyt dowolnych adresów URL za pomocą parametru statsURL. Brak walidacji isSSRFSafeURL() umożliwia wysyłanie żądań do prywatnych zakresów IP oraz punktów końcowych metadanych w chmurze.

AVideo w wersji do 26.0 zawiera wiele punktów końcowych list.json.php w wtyczkach płatności, które nie mają kontroli autoryzacji, co prowadzi do ujawnienia tokenów PayPal, webhooków Authorize.Net oraz rekordów transakcji Bitcoin.

W AVideo 29.0 i wcześniejszych wersjach występuje klasyczna podatność na wstrzykiwanie metaznaków powłoki. W gałęzi powiadomień YPTSocket w pliku plugin/Live/on_publish.php polecenie execAsync() jest budowane przez konkatenację ciągów, z każdym argumentem w pojedynczym cudzysłowie, ale bez wywołania escapeshellarg(). Znak ' w dowolnej z trzech interpolowanych wartości ($users_id, $m3u8, $obj->liveTransmitionHistory_id) zamyka cytowany token i pozwala atakującemu dołączyć dowolne polecenia.

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma podatność na atak SSRF. Dwa punkty końcowe nieprawidłowo walidują dostarczone przez użytkownika adresy URL, co pozwala atakującemu na przekierowanie do wewnętrznych zasobów.

W AVideo w wersjach do 29.0 włącznie punkt końcowy plugin/PayPalYPT/agreementCancel.json.php anuluje umowę rozliczeniową PayPal na podstawie parametru agreement dostarczonego przez atakującego, bez weryfikacji, czy uwierzytelniony użytkownik jest właścicielem tej umowy. Użytkownik z niskimi uprawnieniami może zawiesić subskrypcję innego użytkownika.

W AVideo w wersjach do 29.0 włącznie endpoint objects/users.json.php udostępnia dwa nieuwierzytelnione ścieżki, które ujawniają pełną listę zarejestrowanych kont użytkowników. Parametr isCompany pozwala obejść zabezpieczenie admin-only w User::getAllUsers()/User::getTotalUsers(), a druga ścieżka przyjmuje users_id i wywołuje User::getUserFromID() bez sprawdzenia uprawnień. Obie ścieżki zwracają identyfikatory, nazwy wyświetlane, adresy kanałów, zdjęcia, tła, statusy oraz łączną liczbę kont.

W AVideo w wersjach do 29.0 włącznie uwierzytelniony użytkownik może skonfigurować własny URL webhooka powiadomień o darowiznach, wskazując na wewnętrzne/loopback/metadata hosty. Gdy inny użytkownik dokona darowizny, serwer AVideo wykonuje żądanie curl POST na podany URL, co prowadzi do blind SSRF. Handler używa tylko isValidURL() i nie wywołuje isSSRFSafeURL(), a CURLOPT_FOLLOWLOCATION jest włączone bez ponownej walidacji.

W AVideo do wersji 29.0 włącznie endpoint objects/userSavePhoto.php przyjmuje parametr base64 i zapisuje zdekodowane bajty do pliku zdjęcia profilowego, mając jedynie kontrolę dostępu User::isLogged(). Brak tokenu CSRF, weryfikacji Origin/Referer i walidacji MIME, a domyślna polityka ciasteczek SameSite=None; Secure umożliwia atakującemu nadpisanie zdjęcia profilowego zalogowanego użytkownika i wywołanie clearCache(true).

Platforma AVideo w wersjach do 29.0 włącznie przekazuje surowy parametr POST 'message' do funkcji sendSiteEmail(), która wstawia go bezpośrednio do szablonu HTML e-maila bez sanityzacji ani kodowania znaków. Uwierzytelniony użytkownik z uprawnieniem do przesyłania może rozsyłać dowolny HTML (linki phishingowe, piksele śledzące, podszywanie się pod interfejs) do wszystkich subskrybentów kanału, do 10 000 odbiorców na wywołanie.

W AVideo w wersjach do 29.0 włącznie wtyczka MobileManager/oauth2.php kończy logowanie OAuth, przekierowując na adres zawierający hash hasła ofiary w parametrze URL. Ponieważ endpoint logowania akceptuje flagę encodedPass=1 omijającą hashowanie, każdy kto przechwyci ten adres (np. z logów serwera, nagłówka Referer lub historii przeglądarki) uzyskuje dane równoważne hasłu w postaci jawnej i może przejąć konto, w tym konta administratorów.

AVideo to otwartoźródłowa platforma wideo, która w wersjach do 29.0 ujawnia lokalny sekret CloneSite w odpowiedzi HTTP na każde nieautoryzowane żądanie. Sekret ten może być wykorzystany przez atakującego do podszywania się pod ofiarę i uzyskania dostępu do zdalnej bazy danych.

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma lukę umożliwiającą atakującemu bez uwierzytelnienia wysyłanie złośliwych wiadomości przez WebSocket. Luka ta wynika z niewłaściwego przetwarzania danych JSON, co pozwala na wykonanie kodu PHP na serwerze.

AVideo w wersjach 29.0 i poniżej zawiera niekompletną poprawkę XSS w klasie ParsedownSafeWithLinks, która nadpisuje inlineMarkup dla surowego HTML, ale nie nadpisuje inlineLink() ani inlineUrlTag(). Umożliwia to obejście sanityzacji poprzez adresy URL javascript: w składni linków markdown. Commit cae8f0dadbdd962c89b91d0095c76edb8aadcacf zawiera zaktualizowaną poprawkę.

AVideo w wersjach 29.0 i poniżej pozwala nieuwierzytelnionemu klientowi wymusić wygenerowanie CAPTCHA o długości 1 znaku poprzez parametr ql w objects/getCaptcha.php bez walidacji. W połączeniu z porównaniem strcasecmp bez rozróżniania wielkości liter i brakiem unieważnienia tokenu sesji po nieudanej walidacji, atakujący może łatwo złamać CAPTCHA na dowolnym endpoincie w maksymalnie ~33 żądaniach na sesję. Commit bf1c76989e6a9054be4f0eb009d68f0f2464b453 zawiera poprawkę.

W AVideo w wersjach 29.0 i starszych endpoint objects/commentDelete.json.php usuwa komentarze bez walidacji CSRF, nie sprawdzając tokenu ani nagłówków Origin/Referer. Ponieważ ciasteczko sesji ma SameSite=None, złośliwa strona może automatycznie wysłać żądanie z sesją ofiary i wymusić masowe usunięcie komentarzy.

Platforma AVideo w wersjach 29.0 i starszych posiada liczne endpointy JSON w katalogu objects/, które przyjmują żądania zmieniające stan przez $_REQUEST/$_GET i zapisują zmiany powiązane z sesją użytkownika, bez tokenu anty-CSRF ani weryfikacji origin/referer. Złośliwa strona odwiedzona przez zalogowaną ofiarę może po cichu zmienić ocenę komentarza, dodać komentarz w imieniu ofiary lub usunąć zasoby z kategorii.

W AVideo w wersjach 29.0 i wcześniejszych endpoint plugin/Live/view/Live_restreams/list.json.php zawiera podatność IDOR, która pozwala każdemu uwierzytelnionemu użytkownikowi z uprawnieniem do streamingu pobrać konfiguracje restreamingu innych użytkowników, w tym klucze strumieni i tokeny OAuth (access_token, refresh_token) dla serwisów takich jak YouTube Live, Facebook Live i Twitch. Poprawka znajduje się w commicie d5992fff2811df4adad1d9fc7d0a5837b882aed7.

W WWBN AVideo do wersji 26.0 włącznie, plik objects/aVideoEncoderReceiveImage.json.php umożliwiał uwierzytelnionemu uploaderowi pobieranie kontrolowanych przez atakującego adresów URL samego pochodzenia /videos/..., omijanie zabezpieczeń traversal i ujawnianie lokalnych plików serwera poprzez ścieżkę przechowywania plakatu GIF. Podatna gałąź GIF mogła być wykorzystana do odczytu lokalnych plików, takich jak /etc/passwd lub pliki źródłowe aplikacji, i ponownego opublikowania tych bajtów przez normalny publiczny adres URL mediów GIF.

WWBN AVideo, otwartoźródłowa platforma wideo, zawiera lukę Server-Side Request Forgery (SSRF) w przepływie logowania retransmisji na żywo. Uwierzytelniony streamer może przechowywać dowolny URL callback, który jest następnie pobierany po stronie serwera. Luka występuje w wersjach 26.0 i wcześniejszych.

AVideo to otwarta platforma wideo, w której funkcja EPG (Electronic Program Guide) parsuje XML z kontrolowanych przez użytkownika URL-i i renderuje tytuły programów bezpośrednio w HTML bez sanityzacji. Użytkownik z uprawnieniami do przesyłania może ustawić złośliwy plik XML, którego elementy <title> zawierają JavaScript. Podatność dotyczy wersji 26.0 i wcześniejszych.

WWBN AVideo w wersjach 26.0 i starszych ma podatność w handlerze PayPal IPN v1, który nie deduplikuje transakcji. Atakujący może powtarzać pojedyncze powiadomienie IPN, wielokrotnie zwiększając saldo portfela i odnawiając subskrypcje.

W AVideo w wersji 26.0 i wcześniejszych wykryto podatność w skrypcie install/deleteSystemdPrivate.php. Z powodu błędu pierwszeństwa operatorów w PHP, warunek !php_sapi_name() === 'cli' zawsze zwraca false, co umożliwia zdalny dostęp bez uwierzytelnienia do skryptu, który usuwa pliki z katalogu tymczasowego i ujawnia jego zawartość.

WWBN AVideo w wersjach do 26.0 włącznie ma endpoint categories.json.php, który nie egzekwuje kontroli dostępu opartych na grupach użytkowników. W domyślnej ścieżce żądania filtrowanie grup jest pomijane, ujawniając wszystkie nieprywatne kategorie, a przy parametrze ?user= błąd type confusion powoduje użycie grup administratora (user_id=1) zamiast bieżącego użytkownika. Poprawka znajduje się w commicie 6e8a673eed07be5628d0b60fbfabd171f3ce74c9.

W AVideo w wersjach do 26.0 włącznie endpoint save.json.php wtyczki AI ładuje obiekty odpowiedzi AI na podstawie parametru id kontrolowanego przez atakującego, bez sprawdzenia, czy odpowiedź należy do wskazanego wideo. Uwierzytelniony użytkownik z uprawnieniami AI może odwołać się do dowolnego identyfikatora odpowiedzi AI.

WWBN AVideo w wersjach do 26.0 włącznie ma endpoint get_api_video_password_is_correct, który pozwala nieuwierzytelnionemu użytkownikowi sprawdzić, czy hasło jest poprawne dla dowolnego chronionego wideo. Endpoint zwraca pole boolean passwordIsCorrect bez limitowania szybkości, CAPTCHA ani uwierzytelniania, umożliwiając szybkie ataki brute-force. Poprawka znajduje się w commicie 01a0614fedcdaee47832c0d913a0fb86d8c28135.

W platformie AVideo w wersjach do 26.0 włącznie punkt końcowy objects/playlistsVideos.json.php zwraca pełną zawartość dowolnej playlisty na podstawie jej ID bez uwierzytelnienia i autoryzacji. Prywatne playlisty (w tym watch_later i favorite) są ukryte w listach, ale ich zawartość jest bezpośrednio dostępna przez sekwencyjny parametr playlists_id. Poprawka została zawarta w commicie bb716fbece656c9fe39784f11e4e822b5867f1ca.

AVideo w wersjach przed 20.1 zawiera podatność typu insecure direct object reference, która pozwala użytkownikom z uprawnieniami do przesyłania modyfikować metadane rotacji dowolnego filmu. Endpoint weryfikuje możliwość przesyłania, ale nie egzekwuje praw własności lub zarządzania dla docelowego filmu.

AVideo w wersjach przed 20.1 pozwala każdemu uwierzytelnionemu użytkownikowi na przesyłanie obrazów komentarzy do filmów należących do innych użytkowników. Punkt końcowy weryfikuje uwierzytelnienie, ale pomija sprawdzanie własności, co pozwala atakującym na nieautoryzowane przesyłanie do dowolnych obiektów wideo.