WWBN AVideo getroffen door CSRF op Player Skin Configuratie via admin/playerUpdate.json.php

Een succesvolle exploitatie van deze CSRF-kwetsbaarheid stelt een aanvaller in staat om de uiterlijke weergave van de video player op het gehele AVideo platform te manipuleren. Dit kan variëren van het veranderen van kleuren en lettertypen tot het injecteren van schadelijke scripts via de player skin configuratie. Omdat de kwetsbaarheid gebruik maakt van SameSite=None cookies, kan een aanvaller deze exploitatie uitvoeren vanaf een andere domein, wat het risico vergroot. De impact is vooral merkbaar voor gebruikers die de video player intensief gebruiken en afhankelijk zijn van een consistente en veilige weergave.

Organizations and individuals using AVideo for hosting and streaming video content are at risk. Specifically, deployments with weak cookie security settings (SameSite=None) are more vulnerable. Shared hosting environments where multiple users share the same AVideo instance are also at increased risk, as an attacker could potentially exploit the vulnerability on behalf of another user.

• php: Examine web server access logs for suspicious POST requests to /admin/playerUpdate.json.php originating from unexpected IP addresses.

grep -i 'playerUpdate.json.php' /var/log/apache2/access.log | grep -i 'POST' | grep -v '127.0.0.1'

• php: Review AVideo configuration files for any instances of ignoreTableSecurityCheck() that might be disabling security checks.

grep -r ignoreTableSecurityCheck /var/www/avideo/

• generic web: Monitor for unusual changes in the video player's appearance across the platform, which could indicate a successful CSRF attack.

1. 2026-04-06Disclosure

   disclosure

1. Gereserveerd2026-04-01
2. Gepubliceerd2026-04-06
3. Gewijzigd2026-04-07
4. EPSS bijgewerkt2026-04-14

De primaire mitigatie voor CVE-2026-35181 is het upgraden van AVideo naar versie 26.1 of hoger, waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van strikte Content Security Policy (CSP) headers om de bronnen die de video player kan laden te beperken. Daarnaast kan het implementeren van een Web Application Firewall (WAF) helpen om kwaadaardige CSRF-verzoeken te detecteren en te blokkeren. Controleer de configuratie van SameSite cookies om te zorgen dat deze niet op 'None' staan, tenzij strikt noodzakelijk. Na de upgrade, controleer de video player configuratie om er zeker van te zijn dat deze niet is gewijzigd door een aanvaller.