AVideo: emailAllUsers.json.phpにおけるCSRFにより、全ユーザーに対して大量のフィッシングメールを送信可能

このCSRF脆弱性は、攻撃者が管理者の権限を悪用し、すべてのユーザーに悪意のあるHTMLメールを送信することを可能にします。メールの内容は完全に攻撃者によって制御されるため、フィッシング詐欺、マルウェアの拡散、または機密情報の窃取といった攻撃に利用される可能性があります。特に、AVideoの管理者が頻繁にメール機能を使用している場合、攻撃者は管理者を騙しやすく、広範囲な影響を及ぼす可能性があります。この脆弱性は、類似のCSRF攻撃と同様に、ユーザーの信頼を損ない、プラットフォーム全体のセキュリティを脅かす重大なリスクとなります。

Organizations and individuals using wwbn/avideo versions 26.0 and earlier are at risk. This includes platforms deployed in shared hosting environments, as well as those with legacy configurations that may not have robust security controls in place. Administrators of AVideo instances are particularly vulnerable, as they are the primary targets of this attack.

• php / web:

grep -r 'objects/emailAllUsers.json.php' /var/www/avideo/

• php / web:

curl -I https://your-avideo-instance.com/objects/emailAllUsers.json.php | grep 'SameSite'

• generic web: Inspect the HTML source code of AVideo pages for any suspicious forms or scripts that could be used to trigger the email functionality without proper CSRF protection.

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-01
3. EPSS 更新日2026-04-08

この脆弱性への対応策として、まず、wwbn/avideoを最新バージョンにアップグレードすることを推奨します。アップグレードが困難な場合は、一時的な回避策として、管理者がAVideoの管理画面にアクセスする際に、CSRFトークンを検証するカスタムのセキュリティ層を追加することを検討してください。また、WAF（Web Application Firewall）を導入し、CSRF攻撃のパターンを検知・ブロックするルールを設定することも有効です。さらに、管理者にセキュリティ意識向上トレーニングを実施し、不審なリンクやウェブサイトへのアクセスを避けるよう指導することが重要です。アップグレード後、CSRFトークンが正しく検証されていることを確認してください。