WWBN AVideo Afectado por CSRF en la Configuración de la Apariencia del Reproductor a través de admin/playerUpdate.json.php

Un atacante puede explotar esta vulnerabilidad para modificar la apariencia del reproductor de video en AVideo, potencialmente inyectando código malicioso o alterando la experiencia del usuario. La falta de validación de tokens CSRF en el endpoint admin/playerUpdate.json.php combinado con cookies SameSite=None facilita la ejecución de solicitudes POST desde un origen diferente. La exclusión de la tabla plugins de la verificación de seguridad del ORM elimina una capa adicional de protección, aumentando el riesgo. Esta manipulación podría usarse para desinformar a los usuarios, robar credenciales o incluso ejecutar código arbitrario en el contexto del usuario autenticado.

Organizations and individuals using AVideo for hosting and streaming video content are at risk. Specifically, deployments with weak cookie security settings (SameSite=None) are more vulnerable. Shared hosting environments where multiple users share the same AVideo instance are also at increased risk, as an attacker could potentially exploit the vulnerability on behalf of another user.

• php: Examine web server access logs for suspicious POST requests to /admin/playerUpdate.json.php originating from unexpected IP addresses.

grep -i 'playerUpdate.json.php' /var/log/apache2/access.log | grep -i 'POST' | grep -v '127.0.0.1'

• php: Review AVideo configuration files for any instances of ignoreTableSecurityCheck() that might be disabling security checks.

grep -r ignoreTableSecurityCheck /var/www/avideo/

• generic web: Monitor for unusual changes in the video player's appearance across the platform, which could indicate a successful CSRF attack.

1. 2026-04-06Disclosure

   disclosure

1. Reservado2026-04-01
2. Publicada2026-04-06
3. Modificada2026-04-07
4. EPSS actualizado2026-04-14

La mitigación principal para CVE-2026-35181 es actualizar AVideo a la versión 26.1 o superior, que incluye la corrección de la vulnerabilidad CSRF. Si la actualización no es inmediatamente posible, considere implementar medidas temporales como la restricción del acceso al endpoint admin/playerUpdate.json.php a través de un firewall de aplicaciones web (WAF) o un proxy inverso. Además, asegúrese de que las cookies estén configuradas con SameSite=Strict o SameSite=Lax para mitigar el riesgo de ataques CSRF cross-origin. Después de la actualización, verifique la integridad de la configuración del reproductor de video para confirmar que la vulnerabilidad ha sido resuelta.