WWBN AVideo heeft een SSRF via same-domain hostname met alternate port bypasses isSSRFSafeURL

Een succesvolle exploitatie van deze SSRF-kwetsbaarheid kan aanzienlijke gevolgen hebben. Een aanvaller kan interne services en databases blootleggen die normaal gesproken niet toegankelijk zijn vanaf het publieke internet. Door het manipuleren van de hostname in een URL kan de aanvaller verbinding maken met interne poorten en gevoelige data exfiltreren. Dit kan leiden tot dataverlies, compromittering van interne systemen en mogelijk zelfs volledige controle over de AVideo-server. De mogelijkheid om data te exfiltreren via een web-toegankelijk pad verhoogt de ernst van de kwetsbaarheid aanzienlijk.

Organizations using AVideo in production environments, particularly those with sensitive data or internal services accessible via the web server, are at risk. Shared hosting environments where multiple users share the same AVideo instance are also particularly vulnerable, as an attacker could potentially exploit the vulnerability to access data belonging to other users.

• php: Examine the objects/functions.php file for the isSSRFSafeURL() function and its shortcircuit logic. Look for modifications or unexpected behavior related to hostname comparisons.

// Example: Check for the vulnerable logic in isSSRFSafeURL()
if (strpos($_SERVER['HTTP_HOST'], $webSiteRootURL) !== false) {
  // Vulnerable shortcircuit
}

• generic web: Monitor access logs for requests to the AVideo server using non-standard ports (e.g., 8080, 8443) or unusual hostnames. • generic web: Check response headers for unexpected content or indicators of data exfiltration. • generic web: Use curl to test SSRF bypass by attempting to access internal resources using the site's hostname and a non-standard port.

curl -v --connect-timeout 5 http://your-avideo-site.com:8080/internal/resource

1. 2026-04-21Disclosure

   disclosure

1. Gereserveerd2026-04-16
2. Gepubliceerd2026-04-21
3. Gewijzigd2026-04-22
4. EPSS bijgewerkt2026-04-29

De primaire mitigatie voor CVE-2026-41060 is het upgraden naar AVideo versie 29.1 of hoger, waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van een Web Application Firewall (WAF) of proxy die requests met ongebruikelijke poorten of interne hostnamen blokkeert. Controleer ook de configuratie van AVideo om te zorgen dat er geen onnodige interne services worden blootgesteld. Na de upgrade, verifieer de fix door een poging te wagen om een request naar een interne poort te sturen en controleer of deze wordt geblokkeerd.