AVideo 在 pluginRunDatabaseScript.json.php 中存在路径遍历漏洞，通过未清理的插件名称允许执行任意 SQL 文件

该路径遍历漏洞的潜在影响非常严重。攻击者可以通过精心构造的 POST 请求中的 name 参数，控制 Plugin::getDatabaseFileName() 函数的文件名，从而访问并执行任意位置的 install/install.sql 文件。这意味着攻击者可以执行任意 SQL 查询，直接访问和修改应用程序数据库中的数据。攻击者可能窃取敏感信息，例如用户凭据、财务数据或业务机密。更严重的是，攻击者可能利用此漏洞篡改数据，破坏应用程序的完整性，甚至完全控制数据库服务器。由于该漏洞需要身份验证，但可以通过 CSRF 攻击绕过，因此攻击面相对较广。

Organizations using wwbn/avideo in environments where administrators have access to the plugin management interface are at risk. Shared hosting environments where multiple users share the same server and database are particularly vulnerable, as an attacker could potentially exploit this vulnerability to compromise other users' data. Legacy configurations with outdated security practices are also at increased risk.

• php: Examine access logs for requests to objects/pluginRunDatabaseScript.json.php with unusual or potentially malicious values in the name parameter. Use grep to search for patterns like ../ or absolute paths.

grep 'pluginRunDatabaseScript.json.php.*../' /var/log/apache2/access.log

• generic web: Use curl to test the endpoint with various payloads, observing the response for errors or unexpected behavior.

curl -X POST -d 'name=../../../../etc/passwd' http://your-avideo-server/objects/pluginRunDatabaseScript.json.php

1. 2026-03-25Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-03-25
3. EPSS 更新日期2026-03-31

虽然升级到最新版本是解决此漏洞的最佳方法，但在无法立即升级的情况下，可以采取以下缓解措施。首先，实施严格的输入验证和过滤，确保 name 参数的值不包含任何恶意字符或路径遍历序列。其次，限制插件目录的访问权限，只允许授权用户访问。第三，实施 CSRF 保护机制，防止攻击者利用 CSRF 漏洞触发此漏洞。最后，监控应用程序的日志文件，查找任何可疑的 SQL 查询或文件访问活动。在升级后，请确认通过检查数据库文件权限和执行安全审计来验证漏洞是否已成功修复。