AVideoにおいてimport.json.phpにパス・トラバーサル脆弱性があり、fileURIパラメータを介してプライベート動画の窃盗と任意のファイル読み取り/削除を可能にする

この脆弱性は、認証された攻撃者がfileURIパラメータを操作することで、ファイルシステム上の任意のファイルにアクセスすることを可能にします。攻撃者は、他のユーザーのプライベートビデオファイルを盗んだり、.txt、.html、.htmファイルなどの機密情報を読み取ることができます。この脆弱性の悪用は、機密情報の漏洩、不正アクセス、および潜在的なシステムへの損害につながる可能性があります。類似の脆弱性は、ファイルアップロード機能を持つWebアプリケーションで頻繁に見られます。

Organizations using wwbn/avideo for video management, particularly those with shared hosting environments or legacy configurations, are at risk. Users with upload permissions within the application are especially vulnerable, as they are the ones who can exploit this vulnerability to access sensitive files.

• php / server:

grep -r 'fileURI' /var/www/avideo/

• php / server:

find /var/www/avideo/ -name 'import.json.php'

• generic web:

curl -I http://your-avideo-server/objects/import.json.php?fileURI=../../../../etc/passwd

1. 2026-03-20Disclosure

   disclosure

1. 予約済み2026-03-20
2. 公開日2026-03-20
3. 更新日2026-03-25
4. EPSS 更新日2026-03-31

この脆弱性への対応策として、まずwwbn/avideoを最新バージョンにアップグレードすることを強く推奨します。アップグレードが困難な場合は、WAF（Web Application Firewall）を使用してobjects/import.json.phpエンドポイントへのアクセスを制限するルールを実装することを検討してください。また、ファイルアップロード機能の入力検証を強化し、許可されたファイルの種類と拡張子のみを受け入れるように設定することも有効です。さらに、ファイルシステムへのアクセス権を最小限に抑え、不要なファイルの読み取りを防止することが重要です。アップグレード後、import.json.phpへの不正なパスアクセスを試みることで修正を確認してください。