CVE-2026-34732: 未授权数据泄露在 wwbn/avideo

该漏洞的影响非常严重，因为它允许攻击者未经身份验证直接访问敏感数据。攻击者可以利用此漏洞提取大量用户数据，包括个人身份信息、财务信息和内部系统信息。这些数据可以被用于身份盗窃、欺诈或其他恶意目的。由于 list.json.php 模板缺乏身份验证检查，所有使用 CreatePlugin 代码生成器的插件都受到影响，这意味着存在 21 个未授权的数据列表端点。攻击者可以利用这些端点来获取对平台的广泛访问权限，并可能导致进一步的攻击。

Organizations using wwbn/avideo versions 26.0 and earlier, particularly those with publicly accessible instances or those handling sensitive user data, are at significant risk. Shared hosting environments where multiple users share the same instance are also particularly vulnerable, as an attacker could potentially exploit this vulnerability to access data belonging to other users.

• php: Examine list.json.php for the absence of authentication checks within the CreatePlugin template. Use grep to search for the template code without authentication logic.

grep -r 'CreatePlugin' /path/to/avideo/list.json.php | grep -v 'authentication'

• generic web: Monitor access logs for requests to list.json.php originating from unexpected or unauthorized IP addresses. Look for patterns of repeated requests to the same endpoint.

 grep "/list.json.php" /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c

• generic web: Check response headers for unusual or unexpected content that might indicate data leakage. Use curl to inspect the headers.

curl -I https://your-avideo-instance/list.json.php

1. 2026-04-01Disclosure

   disclosure

1. 已保留2026-03-30
2. 发布日期2026-04-01
3. EPSS 更新日期2026-04-08

由于目前没有提供修复版本，建议采取以下缓解措施来降低风险。首先，审查并禁用所有使用 CreatePlugin 代码生成器的插件，直到发布安全补丁。其次，实施 Web 应用防火墙 (WAF) 或代理服务器规则，以阻止对 list.json.php 端点的未经授权的访问。第三，仔细检查 list.json.php 文件的访问权限，确保只有授权用户才能访问。最后，监控系统日志，以检测任何可疑活动。在实施缓解措施后，验证配置是否正确，并确认漏洞已成功缓解。