AVideo में पथ पारगमन के माध्यम से प्राधिकरण बाईपास HLS एंडपॉइंट निजी/भुगतान किए गए वीडियो स्ट्रीम करने की अनुमति देता है

यह भेद्यता एक हमलावर को प्लेटफ़ॉर्म पर संग्रहीत किसी भी वीडियो फ़ाइल तक पहुंचने की अनुमति देती है, चाहे वह निजी हो या भुगतान किया गया हो। हमलावर videoDirectory GET पैरामीटर में .. अनुक्रम का उपयोग करके पथ को पार कर सकता है, जिससे वह उन फ़ाइलों तक पहुंच सकता है जो सामान्य रूप से पहुंच से बाहर होती हैं। इससे गोपनीय वीडियो सामग्री का खुलासा हो सकता है, प्लेटफ़ॉर्म की प्रतिष्ठा को नुकसान हो सकता है, और संभावित रूप से कानूनी और वित्तीय परिणाम हो सकते हैं। यह भेद्यता विशेष रूप से उन प्लेटफ़ॉर्म के लिए गंभीर है जो सदस्यता-आधारित वीडियो सामग्री प्रदान करते हैं, क्योंकि यह अनधिकृत पहुंच और पायरेसी की अनुमति दे सकता है।

Organizations utilizing wwbn/avideo for video streaming, particularly those with private or paid content, are at risk. Shared hosting environments where multiple users share the same instance of wwbn/avideo are especially vulnerable, as an attacker could potentially exploit this vulnerability to access content belonging to other users.

• php: Examine access logs for requests containing .. sequences in the videoDirectory parameter of the view/hls.php endpoint. • php: Search for code patterns related to divergent path handling of the videoDirectory parameter, specifically where one path truncates at / and another preserves .. sequences. • generic web: Use curl to test for path traversal by appending ../ sequences to the videoDirectory parameter and observing the response.

curl 'http://your-avideo-instance/view/hls.php?videoDirectory=../../../../etc/passwd'

1. 2026-03-19Disclosure

   disclosure

1. आरक्षित2026-03-18
2. प्रकाशित2026-03-19
3. संशोधित2026-03-25
4. EPSS अद्यतन2026-03-30

सबसे प्रभावी शमन उपाय wwbn/avideo को संस्करण 26.0 में अपग्रेड करना है, जिसमें इस भेद्यता को ठीक किया गया है। यदि अपग्रेड तत्काल संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके videoDirectory पैरामीटर के लिए इनपुट सत्यापन लागू किया जा सकता है। यह सुनिश्चित करेगा कि पैरामीटर में केवल अपेक्षित वर्ण शामिल हैं और .. अनुक्रमों की अनुमति नहीं है। इसके अतिरिक्त, प्लेटफ़ॉर्म पर वीडियो फ़ाइलों के लिए उचित फ़ाइल सिस्टम अनुमतियाँ कॉन्फ़िगर की जानी चाहिए ताकि अनधिकृत पहुंच को रोका जा सके। अपग्रेड के बाद, यह सत्यापित करें कि पथ पारगमन भेद्यता अब मौजूद नहीं है, videoDirectory पैरामीटर के साथ विभिन्न पथों तक पहुंचने का प्रयास करके।