AVideo は、Unparameterized Stream Key を介して Live_schedule::keyExists() で SQL インジェクション (SQL Injection) が発生します

AVideoのオープンソースビデオプラットフォームにおけるCVE-2026-34374脆弱性は、Liveschedule::keyExists()メソッド内に存在します。26.0までのバージョンが影響を受けます。問題は、適切なパラメータ化なしにSQLクエリを構築することにあります。具体的には、ストリームキーがクエリ文字列に直接埋め込まれており、SQLインジェクションを可能にします。呼び出し関数であるLiveTransmition::keyExists()は、独自の検索にパラメータ化されたクエリを正しく使用していますが、Liveschedule::keyExists()へのフォールバックパスはそうではありません。攻撃者はこの脆弱性を悪用して、基盤となるデータベース上で任意のSQLコードを実行し、データ機密性と整合性を損なう可能性があります。CVSSスコアは9.1と評価されており、重大なリスクを示しています。修正プログラムの不在は状況を悪化させ、即時の対応が必要です。

Organizations utilizing AVideo version 26.0 or earlier, particularly those hosting the platform on shared hosting environments or with limited security controls, are at significant risk. Deployments relying on legacy configurations or custom integrations that interact with the Live_schedule::keyExists() method are also particularly vulnerable.

• php: Examine application logs for SQL errors or unusual database activity related to the Live_schedule::keyExists() method. Use a code scanner to identify instances of string concatenation used to build SQL queries. • generic web: Monitor access logs for requests to endpoints associated with live scheduling functionality. Look for unusual characters or patterns in the request parameters that might indicate an injection attempt. • database (mysql): Use mysql -e 'SHOW PROCESSLIST;' to monitor active database connections and identify any suspicious queries being executed. Review slow query logs for queries that take an unusually long time to execute, which could indicate an injection attack.

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-03-27
2. 公開日2026-03-27
3. EPSS 更新日2026-04-04

AVideoチームから公式な修正プログラムが提供されていないため、直近の軽減策は、26.0より前のAVideoバージョンを使用しないことです。アップグレードが不可能な場合は、データベース環境に追加のセキュリティ対策を実装することを強くお勧めします。これには、AVideoアプリケーションのデータベースアクセス権の制限、ネットワークトラフィックを制限するためのデータベースファイアウォールの実装、および疑わしいパターンを検出するためのデータベースアクティビティの監視が含まれます。さらに、Live_schedule::keyExists()のソースコードを確認し、SQLクエリに適切なパラメータ化を適用する必要があります。AVideoを使用しているユーザーは、開発チームに連絡して修正プログラムをリクエストし、セキュリティアップデートに関する情報を入手することをアドバイスします。