AVideo 在 aVideoEncoder.json.php 的 downloadURL 中存在经过身份验证的服务器端请求伪造 (Authenticated Server-Side Request Forgery)

攻击者可以利用此 SSRF 漏洞与内部服务进行交互，并检索敏感数据。例如，攻击者可以扫描内部网络，访问未公开的 API，或者读取内部数据库中的数据。由于该漏洞需要认证，因此攻击者需要先获得 AVideo 系统的有效凭据。如果内部服务存在其他漏洞，SSRF 漏洞可以作为跳板，进一步扩大攻击范围。该漏洞的潜在影响包括数据泄露、权限提升以及对内部系统的破坏。

Organizations utilizing AVideo versions prior to 22.0, particularly those with internal services accessible via the network, are at risk. Shared hosting environments where multiple users share the same AVideo instance are also particularly vulnerable, as a compromised user account could be leveraged to exploit the SSRF vulnerability.

• php: Examine access logs for requests to aVideoEncoder.json.php with unusual or unexpected downloadURL parameters. Look for URLs pointing to internal IP addresses or non-standard ports.

grep 'aVideoEncoder.json.php' access.log | grep 'downloadURL='

• generic web: Use curl to test the endpoint with a known internal URL and verify that the request is blocked.

curl -v 'http://<avideo_server>/aVideoEncoder.json.php?downloadURL=http://169.254.169.254/mgmt/inventory' 

• generic web: Check response headers for unexpected content types or error messages indicating an internal server error when attempting an SSRF request.

1. 2026-02-25Disclosure

   disclosure

1. 已保留2026-02-23
2. 发布日期2026-02-25
3. EPSS 更新日期2026-03-23

为了缓解 CVE-2026-27732 的影响，建议立即升级到 AVideo 22.0 版本或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 aVideoEncoder.json.php API 端点的访问权限，只允许来自受信任来源的请求。实施严格的输入验证，确保 downloadURL 参数只接受预期的 URL 格式。配置 Web 应用防火墙 (WAF) 或代理服务器，以检测和阻止恶意 SSRF 请求。监控 AVideo 系统日志，查找可疑的 SSRF 活动。