AVideo 受 Path Traversal 在 CloneSite deleteDump 参数中导致任意文件删除的影响

该路径遍历漏洞的潜在影响非常严重。攻击者可以利用此漏洞删除关键应用程序文件，例如 configuration.php，从而导致完全的服务中断。更糟糕的是，攻击者可以通过删除安全关键文件来进一步攻击系统，例如删除身份验证或授权相关的文件。攻击者可以完全控制受影响的服务器，并可能窃取敏感数据或安装恶意软件。由于该漏洞需要有效的克隆凭据，因此攻击者必须首先获得对系统的访问权限，但一旦获得访问权限，后果将不堪设想。

Organizations utilizing wwbn/avideo versions 25.0 and earlier, particularly those with publicly accessible clone functionality, are at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as an attacker could potentially exploit this vulnerability to impact other users' data and configurations.

• wordpress / composer / npm:

grep -r 'unlink($_GET["deleteDump"]);' /var/www/avideo/

• generic web:

curl -I 'http://your-avideo-site.com/plugin/CloneSite/cloneServer.json.php?deleteDump=../../../../etc/passwd' | grep '403 Forbidden'

1. 2026-03-19Disclosure

   disclosure

1. 已保留2026-03-18
2. 发布日期2026-03-19
3. 修改日期2026-03-25
4. EPSS 更新日期2026-03-30

为了缓解 CVE-2026-33293 的影响，建议立即升级到 wwbn/avideo 26.0 版本或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制对 plugin/CloneSite/cloneServer.json.php 的访问，只允许授权用户访问。其次，实施严格的输入验证，确保 deleteDump 参数不包含任何路径遍历序列。最后，监控服务器上的文件系统活动，以检测任何未经授权的文件删除尝试。升级后，请验证漏洞是否已成功修复，例如通过尝试使用路径遍历序列删除文件来测试。