AVideo 多链攻击：通过克隆密钥泄露、数据库转储和命令注入实现未认证远程代码执行

AVideo 的 CloneSite 插件中的 CVE-2026-33478 构成重大风险，因为它存在一系列漏洞，允许未经身份验证的攻击者实现远程代码执行。问题在于，在未经身份验证的情况下，通过 clones.json.php 端点公开了克隆密钥。这些密钥可用于通过 cloneServer.json.php 触发完整的数据库转储。由此产生的转储包含以 MD5 格式存储的管理员密码哈希，这些哈希很容易破解。获得管理员访问权限后，攻击者会利用 rsync 命令构造中的操作系统命令注入，从而完全破坏服务器。由于没有可用的修复程序，情况变得更加糟糕，用户仍然容易受到攻击。

Organizations utilizing AVideo CloneSite plugin versions 26.0 and earlier are at significant risk. This includes businesses using AVideo for video cloning and management, particularly those with publicly accessible instances of the plugin. Shared hosting environments where multiple users share the same server are also at increased risk, as a compromise of one user's instance could potentially lead to the compromise of others.

• php: Examine web server access logs for requests to /clones.json.php and /cloneServer.json.php without authentication. • php: Search plugin files for the rsync command and any user-controlled input used in its construction. Look for instances where user input is directly incorporated into the command without proper sanitization. • linux / server: Monitor system logs (e.g., /var/log/syslog, /var/log/auth.log) for unusual processes or commands being executed, particularly those related to rsync. • generic web: Use curl to test the /clones.json.php endpoint without authentication. A successful response indicates the vulnerability is present.

curl http://your-avideo-server/clones.json.php

1. 2026-03-20Disclosure

   disclosure

最后更新

29.0最近

1. 已保留2026-03-20
2. 发布日期2026-03-20
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-31

鉴于 CVE-2026-33478 没有官方修复程序，最有效的即时缓解措施是禁用或删除 AVideo 的 CloneSite 插件。如果该插件是必不可少的，请考虑实施额外的安全措施，例如限制数据库访问、加强密码策略（避免使用 MD5）以及主动监控服务器是否存在可疑活动。此外，建议检查插件的源代码以手动识别和修复漏洞，尽管这需要相当大的技术专业知识。保持服务器软件更新并应用常规安全补丁也有助于降低风险。强烈建议在发布官方解决方案之前寻找 CloneSite 插件的替代方案。