AVideo मल्टी-चेन अटैक: क्लोन की प्रकटीकरण, डेटाबेस डंप और कमांड इंजेक्शन के माध्यम से अनधिकृत रिमोट कोड एग्जीक्यूशन

AVideo के CloneSite प्लगइन में CVE-2026-33478 एक गंभीर जोखिम पैदा करता है क्योंकि यह कमजोरियों की एक श्रृंखला है जो एक अनधिकृत हमलावर को दूरस्थ रूप से कोड निष्पादित करने की अनुमति देती है। समस्या clones.json.php एंडपॉइंट के माध्यम से प्रमाणीकरण के बिना क्लोन सीक्रेट कुंजी को उजागर करने में है। इन कुंजियों का उपयोग cloneServer.json.php के माध्यम से पूर्ण डेटाबेस डंप को ट्रिगर करने के लिए किया जा सकता है। परिणामी डंप में व्यवस्थापक पासवर्ड हैश शामिल हैं जो MD5 प्रारूप में संग्रहीत हैं, जिन्हें आसानी से क्रैक किया जा सकता है। व्यवस्थापक पहुंच प्राप्त करने के बाद, हमलावर rsync कमांड निर्माण में एक ऑपरेटिंग सिस्टम कमांड इंजेक्शन का शोषण करता है, जिससे सर्वर पूरी तरह से समझौता हो जाता है। कोई उपलब्ध फिक्स न होने से स्थिति और खराब हो जाती है, जिससे उपयोगकर्ता कमजोर रह जाते हैं।

Organizations utilizing AVideo CloneSite plugin versions 26.0 and earlier are at significant risk. This includes businesses using AVideo for video cloning and management, particularly those with publicly accessible instances of the plugin. Shared hosting environments where multiple users share the same server are also at increased risk, as a compromise of one user's instance could potentially lead to the compromise of others.

• php: Examine web server access logs for requests to /clones.json.php and /cloneServer.json.php without authentication. • php: Search plugin files for the rsync command and any user-controlled input used in its construction. Look for instances where user input is directly incorporated into the command without proper sanitization. • linux / server: Monitor system logs (e.g., /var/log/syslog, /var/log/auth.log) for unusual processes or commands being executed, particularly those related to rsync. • generic web: Use curl to test the /clones.json.php endpoint without authentication. A successful response indicates the vulnerability is present.

curl http://your-avideo-server/clones.json.php

1. 2026-03-20Disclosure

   disclosure

1. आरक्षित2026-03-20
2. प्रकाशित2026-03-20
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-03-31

CVE-2026-33478 के लिए कोई आधिकारिक फिक्स उपलब्ध नहीं होने के कारण, सबसे प्रभावी तत्काल शमन उपाय AVideo के CloneSite प्लगइन को अक्षम या हटाना है। यदि प्लगइन आवश्यक है, तो डेटाबेस एक्सेस को प्रतिबंधित करने, पासवर्ड नीतियों को मजबूत करने (MD5 के उपयोग से बचने) और संदिग्ध गतिविधि के लिए सर्वर की सक्रिय रूप से निगरानी करने जैसे अतिरिक्त सुरक्षा उपाय लागू करने पर विचार करें। इसके अतिरिक्त, प्लगइन के स्रोत कोड की जांच करके कमजोरियों की मैन्युअल रूप से पहचान और सुधार करने की सिफारिश की जाती है, हालांकि इसके लिए महत्वपूर्ण तकनीकी विशेषज्ञता की आवश्यकता होती है। सर्वर सॉफ़्टवेयर को अद्यतित रखना और सामान्य सुरक्षा पैच लागू करना भी जोखिम को कम करने में मदद कर सकता है। आधिकारिक समाधान जारी होने तक CloneSite प्लगइन के लिए एक विकल्प खोजने की दृढ़ता से अनुशंसा की जाती है।

अंतिम अपडेट

29.0हाल ही में