WWBN AVideoは、admin/playerUpdate.json.php経由のPlayer Skin設定においてCSRFの影響を受けている

このCSRF脆弱性は、攻撃者が認証されたユーザーになりすまして、ビデオプレイヤーのスキン設定を不正に変更できることを意味します。これにより、ビデオプレイヤーの外観が改ざんされ、ユーザーエクスペリエンスが損なわれる可能性があります。さらに、悪意のある攻撃者は、ビデオプレイヤーに悪意のあるコードを挿入し、ユーザーがビデオを再生する際にそのコードが実行されるように仕組むことも可能です。この脆弱性は、SameSite=NoneのCookieと組み合わさることで、クロスオリジンPOST攻撃を可能にし、プラットフォーム全体のセキュリティリスクを高めます。

Organizations and individuals using AVideo for hosting and streaming video content are at risk. Specifically, deployments with weak cookie security settings (SameSite=None) are more vulnerable. Shared hosting environments where multiple users share the same AVideo instance are also at increased risk, as an attacker could potentially exploit the vulnerability on behalf of another user.

• php: Examine web server access logs for suspicious POST requests to /admin/playerUpdate.json.php originating from unexpected IP addresses.

grep -i 'playerUpdate.json.php' /var/log/apache2/access.log | grep -i 'POST' | grep -v '127.0.0.1'

• php: Review AVideo configuration files for any instances of ignoreTableSecurityCheck() that might be disabling security checks.

grep -r ignoreTableSecurityCheck /var/www/avideo/

• generic web: Monitor for unusual changes in the video player's appearance across the platform, which could indicate a successful CSRF attack.

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-04-01
2. 公開日2026-04-06
3. 更新日2026-04-07
4. EPSS 更新日2026-04-14

この脆弱性への最も効果的な対策は、AVideoをバージョン26.1にアップデートすることです。アップデートが利用できない場合は、一時的な緩和策として、WAF（Web Application Firewall）を使用して、admin/playerUpdate.json.phpエンドポイントへの不正なリクエストをブロックすることを検討してください。また、CookieのSameSite属性をStrictまたはLaxに設定することで、CSRF攻撃のリスクを軽減できます。さらに、ビデオプレイヤーのスキン設定を定期的に監査し、不正な変更がないか確認することが重要です。