WWBN AVideo प्रभावित है Player Skin Configuration के माध्यम से CSRF से admin/playerUpdate.json.php पर

यह भेद्यता हमलावरों को AVideo प्लेटफ़ॉर्म पर वीडियो प्लेयर की उपस्थिति को अनधिकृत रूप से बदलने की अनुमति देती है। हमलावर खिलाड़ी त्वचा कॉन्फ़िगरेशन को संशोधित करने के लिए CSRF का उपयोग कर सकता है, जिससे प्लेटफ़ॉर्म की ब्रांडिंग और उपयोगकर्ता अनुभव प्रभावित हो सकता है। चूंकि ignoreTableSecurityCheck() फ़ंक्शन का उपयोग ORM सुरक्षा जांच को बायपास करने के लिए किया जाता है, इसलिए यह भेद्यता प्लेटफ़ॉर्म के सभी उपयोगकर्ताओं को प्रभावित कर सकती है। SameSite=None कुकीज़ के साथ, एक क्रॉस-ओरिजिन POST अनुरोध खिलाड़ी की उपस्थिति को बदल सकता है, जिससे संभावित रूप से प्लेटफ़ॉर्म की सुरक्षा और विश्वसनीयता से समझौता हो सकता है।

Organizations and individuals using AVideo for hosting and streaming video content are at risk. Specifically, deployments with weak cookie security settings (SameSite=None) are more vulnerable. Shared hosting environments where multiple users share the same AVideo instance are also at increased risk, as an attacker could potentially exploit the vulnerability on behalf of another user.

• php: Examine web server access logs for suspicious POST requests to /admin/playerUpdate.json.php originating from unexpected IP addresses.

grep -i 'playerUpdate.json.php' /var/log/apache2/access.log | grep -i 'POST' | grep -v '127.0.0.1'

• php: Review AVideo configuration files for any instances of ignoreTableSecurityCheck() that might be disabling security checks.

grep -r ignoreTableSecurityCheck /var/www/avideo/

• generic web: Monitor for unusual changes in the video player's appearance across the platform, which could indicate a successful CSRF attack.

1. 2026-04-06Disclosure

   disclosure

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-06
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-14

CVE-2026-35181 को कम करने के लिए, AVideo को संस्करण 26.1 में अपग्रेड करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग CSRF हमलों को रोकने के लिए किया जा सकता है। इसके अतिरिक्त, सुनिश्चित करें कि सभी कुकीज़ में SameSite विशेषता सेट है ताकि क्रॉस-ओरिजिन अनुरोधों को रोका जा सके। खिलाड़ी त्वचा कॉन्फ़िगरेशन को संशोधित करने वाले किसी भी अनुरोध को मान्य करने के लिए सर्वर-साइड सत्यापन लागू करें।