WWBN AVideo Affecté par CSRF sur la Configuration de l'Apparence du Lecteur via admin/playerUpdate.json.php

L'exploitation de cette vulnérabilité CSRF permet à un attaquant d'effectuer des actions non autorisées au nom d'un utilisateur authentifié. Plus précisément, l'attaquant peut modifier la configuration de la peau du lecteur vidéo, ce qui peut entraîner l'affichage de contenu malveillant, la redirection des utilisateurs vers des sites web malveillants ou la modification de l'expérience utilisateur globale. L'exclusion de la table des plugins de la vérification de sécurité de l'ORM, combinée à l'utilisation de cookies SameSite=None, aggrave le risque en permettant des requêtes POST inter-domaines. Cette vulnérabilité pourrait être exploitée dans des attaques de phishing ciblées ou via des sites web compromis, impactant potentiellement tous les utilisateurs de la plateforme AVideo.

Organizations and individuals using AVideo for hosting and streaming video content are at risk. Specifically, deployments with weak cookie security settings (SameSite=None) are more vulnerable. Shared hosting environments where multiple users share the same AVideo instance are also at increased risk, as an attacker could potentially exploit the vulnerability on behalf of another user.

• php: Examine web server access logs for suspicious POST requests to /admin/playerUpdate.json.php originating from unexpected IP addresses.

grep -i 'playerUpdate.json.php' /var/log/apache2/access.log | grep -i 'POST' | grep -v '127.0.0.1'

• php: Review AVideo configuration files for any instances of ignoreTableSecurityCheck() that might be disabling security checks.

grep -r ignoreTableSecurityCheck /var/www/avideo/

• generic web: Monitor for unusual changes in the video player's appearance across the platform, which could indicate a successful CSRF attack.

1. 2026-04-06Disclosure

   disclosure

1. Réservé2026-04-01
2. Publiée2026-04-06
3. Modifiée2026-04-07
4. EPSS mis à jour2026-04-14

La mitigation immédiate consiste à mettre à niveau AVideo vers la version 26.1 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à niveau, il est possible de renforcer la sécurité en mettant en œuvre des mesures de protection CSRF supplémentaires. Cela peut inclure la validation stricte des tokens CSRF pour toutes les requêtes modifiant la configuration du lecteur vidéo. L'utilisation d'un Web Application Firewall (WAF) avec des règles spécifiques pour bloquer les requêtes CSRF peut également aider à atténuer le risque. Vérifiez après la mise à niveau que les tokens CSRF sont correctement générés et validés pour toutes les requêtes sensibles.