AVideoにおいて、HLSエンドポイントのパス・トラバーサルによる認証バイパスにより、プライベート/有料動画のストリーミングが可能

この脆弱性は、攻撃者がvideoDirectory GETパラメータを悪用することで、認証を回避し、プラットフォーム上の任意の動画ファイルにアクセスすることを可能にします。特に、プライベート動画や有料動画も対象となり、機密情報や知的財産の漏洩につながる可能性があります。攻撃者は、この脆弱性を利用して、プラットフォーム上の他のユーザーの動画を不正にストリーミングしたり、プラットフォームの評判を損なう可能性があります。この攻撃は、認証をバイパスするsplit-oracleの条件を利用しており、類似の脆弱性と同様に、広範囲な影響を及ぼす可能性があります。

Organizations utilizing wwbn/avideo for video streaming, particularly those with private or paid content, are at risk. Shared hosting environments where multiple users share the same instance of wwbn/avideo are especially vulnerable, as an attacker could potentially exploit this vulnerability to access content belonging to other users.

• php: Examine access logs for requests containing .. sequences in the videoDirectory parameter of the view/hls.php endpoint. • php: Search for code patterns related to divergent path handling of the videoDirectory parameter, specifically where one path truncates at / and another preserves .. sequences. • generic web: Use curl to test for path traversal by appending ../ sequences to the videoDirectory parameter and observing the response.

curl 'http://your-avideo-instance/view/hls.php?videoDirectory=../../../../etc/passwd'

1. 2026-03-19Disclosure

   disclosure

1. 予約済み2026-03-18
2. 公開日2026-03-19
3. 更新日2026-03-25
4. EPSS 更新日2026-03-30

バージョン26.0へのアップデートが推奨されます。アップデートがすぐに利用できない場合、一時的な緩和策として、videoDirectoryパラメータの入力検証を強化し、許可されたディレクトリのみへのアクセスを制限する必要があります。WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・ブロックするルールを設定することも有効です。また、アクセスログやエラーログを監視し、異常なアクセスパターンを検出することも重要です。アップデート後、動画ストリーミング機能が正常に動作することを確認してください。