CVE-2026-35450: 情報漏洩 in wwbn/avideo

この脆弱性は、認証なしでFFmpegリモートサーバーの設定情報を公開するため、攻撃者は容易に機密情報を取得できます。具体的には、FFmpegの設定ファイルの内容、リモートサーバーの接続情報などが漏洩する可能性があります。これらの情報が悪用されると、さらなる攻撃への足がかりとなり、システム全体のセキュリティが脅かされる可能性があります。特に、FFmpegを外部システムと連携させている場合、攻撃の影響範囲は広がる可能性があります。

Organizations utilizing wwbn/avideo in environments where FFmpeg is used for media processing are at risk. This is particularly relevant for deployments with limited network segmentation or where the web server is exposed to the public internet. Shared hosting environments using wwbn/avideo are also at increased risk due to the potential for cross-tenant access.

• php: Examine web server access logs for requests to plugin/API/check.ffmpeg.json.php originating from unexpected IP addresses.

grep "/plugin/API/check.ffmpeg.json.php" /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr

• generic web: Use curl to test the endpoint's accessibility without authentication.

curl http://<your_avideo_server>/plugin/API/check.ffmpeg.json.php

• php: Review the plugin/API/ directory for other endpoints lacking authentication checks, particularly those related to system configuration or management.

1. 2026-04-04Disclosure

   disclosure

1. 予約済み2026-04-02
2. 公開日2026-04-04
3. 更新日2026-04-07
4. EPSS 更新日2026-04-14

バージョン26.1へのアップデートが推奨されます。アップデートが困難な場合は、plugin/API/check.ffmpeg.json.phpエンドポイントへのアクセスをWAFやプロキシで遮断する、またはファイルアクセス権限を制限するなどの回避策を講じてください。また、FFmpegの設定ファイルの内容を定期的に監査し、不要な情報が含まれていないか確認することも重要です。アップデート後、システムにアクセスし、脆弱性が修正されていることを確認してください。