AVideoにおいてpluginRunDatabaseScript.json.phpにパス・トラバーサル脆弱性があり、サニタイズされていないプラグイン名経由で任意のSQLファイル実行が可能

この脆弱性は、認証された攻撃者がnameパラメータを操作することで、Plugin::getDatabaseFileName()関数を介してファイルシステム上の任意の場所にアクセスすることを可能にします。攻撃者は、install/install.sqlファイルの内容をデータベースに対して生のSQLクエリとして実行できます。これにより、データベース内の機密情報が漏洩したり、データベースが改ざんされたり、さらにはシステム全体が制御下に置かれる可能性があります。この攻撃は、CSRF（Cross-Site Request Forgery）攻撃によって悪用される可能性もあり、注意が必要です。類似の脆弱性は、SQLインジェクション攻撃につながる可能性があります。

Organizations using wwbn/avideo in environments where administrators have access to the plugin management interface are at risk. Shared hosting environments where multiple users share the same server and database are particularly vulnerable, as an attacker could potentially exploit this vulnerability to compromise other users' data. Legacy configurations with outdated security practices are also at increased risk.

• php: Examine access logs for requests to objects/pluginRunDatabaseScript.json.php with unusual or potentially malicious values in the name parameter. Use grep to search for patterns like ../ or absolute paths.

grep 'pluginRunDatabaseScript.json.php.*../' /var/log/apache2/access.log

• generic web: Use curl to test the endpoint with various payloads, observing the response for errors or unexpected behavior.

curl -X POST -d 'name=../../../../etc/passwd' http://your-avideo-server/objects/pluginRunDatabaseScript.json.php

1. 2026-03-25Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-03-25
3. EPSS 更新日2026-03-31

この脆弱性への対応策として、まず、wwbn/avideoを最新バージョンにアップデートすることを推奨します。アップデートが利用できない場合、一時的な回避策として、objects/pluginRunDatabaseScript.json.phpへのアクセスを制限するWAF（Web Application Firewall）ルールを実装することを検討してください。また、入力値の検証を強化し、nameパラメータに対するパストラバーサル攻撃を防止するためのサニタイズ処理を実装することも有効です。データベースのアクセス権限を最小限に抑え、不要な権限を持つアカウントを削除することも重要です。アップデート後、データベースの整合性を確認し、不正な変更がないか確認してください。