AVideo possui SSRF não autenticado via plugin/Live/test.php

A exploração bem-sucedida desta vulnerabilidade SSRF pode permitir que um atacante explore a rede interna por trás do servidor AVideo. Isso inclui a capacidade de escanear serviços rodando na localhost, acessar endpoints de metadados de serviços em nuvem (como AWS, Azure ou GCP) e potencialmente obter informações confidenciais, como credenciais de acesso ou chaves de API. Um atacante poderia, por exemplo, acessar informações de configuração do servidor ou dados de usuários armazenados em serviços internos. A falta de autenticação necessária para explorar a vulnerabilidade aumenta significativamente o seu potencial de impacto, permitindo que qualquer usuário remoto a explore.

Organizations deploying wwbn/avideo versions 26.0 or earlier are at risk. This includes environments where the AVideo component is exposed to the internet or internal networks without adequate security controls. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as an attacker could potentially exploit the vulnerability through another user's account.

• php: Examine access logs for outbound HTTP requests originating from the AVideo server to unusual or internal IP addresses. Look for requests containing suspicious URLs in the statsURL parameter.

grep 'statsURL=.*://' /var/log/apache2/access.log

• php: Review the plugin/Live/test.php file for the vulnerable code snippet. Check for any modifications that might attempt to bypass the rudimentary input validation.

cat plugin/Live/test.php | grep statsURL

• generic web: Monitor network traffic for outbound HTTP requests from the AVideo server to unexpected destinations. Use tools like tcpdump or Wireshark to capture and analyze network packets.

1. 2026-03-20Disclosure

   disclosure

1. Reservado2026-03-20
2. Publicada2026-03-20
3. Modificada2026-03-25
4. EPSS atualizado2026-03-31

A mitigação primária é atualizar o plugin AVideo para a versão corrigida (superior a 26.0). Se a atualização imediata não for possível devido a problemas de compatibilidade, considere implementar um Web Application Firewall (WAF) para filtrar requisições com URLs suspeitas. Além disso, restrinja o acesso à rede interna a partir do servidor AVideo, utilizando firewalls e regras de roteamento para bloquear o tráfego não autorizado. Monitore os logs do servidor em busca de requisições incomuns para URLs internas. Implementar uma validação mais rigorosa da entrada statsURL no código PHP, verificando não apenas o prefixo http, mas também a validade da URL e a permissão para acessar o recurso.

Última atualização

29.0recentemente