WWBN AVideo afetado por CSRF no Endpoint de Personalização do Site Permite Sobrescrita de Logo via Escrita de Arquivo Base64

Um atacante pode explorar esta vulnerabilidade para substituir o logotipo da plataforma AVideo por uma imagem maliciosa ou um script que redireciona usuários para sites fraudulentos. A ausência de validação de token CSRF no endpoint de personalização e a escrita do arquivo de logotipo no disco antes da verificação de segurança do ORM tornam possível essa exploração. A combinação com a política de cookie SameSite=None agrava o risco, permitindo ataques cross-origin. O impacto pode variar desde a degradação da marca até a execução de código malicioso no navegador do usuário, dependendo do conteúdo injetado no logotipo.

Organizations and individuals using WWBN AVideo versions 1.0.0 through 26.0 are at risk, particularly those with publicly accessible admin interfaces or those who have not implemented robust access controls to the admin panel. Shared hosting environments where multiple users share the same AVideo instance are also at increased risk.

• php: Examine access logs for POST requests to /admin/customizesettingsnativeUpdate.json.php originating from unexpected sources or without proper CSRF tokens.

grep -i 'POST /admin/customize_settings_nativeUpdate.json.php' access.log | grep -i 'Referer:'

1. 2026-04-06Disclosure

   disclosure

1. Reservado2026-04-01
2. Publicada2026-04-06
3. Modificada2026-04-07
4. EPSS atualizado2026-04-14

A mitigação primária é atualizar a plataforma AVideo para a versão 26.1 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de proteção temporárias. Implementar validação de token CSRF em todos os endpoints de personalização é crucial. Além disso, configure o servidor web para aplicar a política SameSite=Strict aos cookies, restringindo o acesso cross-origin. Monitore os logs do servidor em busca de tentativas de modificação do arquivo de logotipo e configure regras de firewall de aplicação web (WAF) para bloquear requisições POST suspeitas para o endpoint de personalização.