WWBN AVideo 受 Player Skin 配置的 CSRF 影响，位于 admin/playerUpdate.json.php

该 CSRF 漏洞影响 AVideo 平台的 admin/playerUpdate.json.php 接口，该接口用于更新播放器皮肤配置。由于缺乏 CSRF 令牌验证，攻击者可以通过跨域 POST 请求修改视频播放器的外观，从而影响整个平台的用户体验。更严重的是，如果攻击者能够控制播放器皮肤的某些方面（例如，显示恶意广告或重定向用户），则可能导致进一步的攻击。该漏洞的利用依赖于 SameSite=None 策略，这使得跨域请求成为可能。由于插件表已从 ORM 的安全检查中排除，因此进一步降低了平台的安全性。

Organizations and individuals using AVideo for hosting and streaming video content are at risk. Specifically, deployments with weak cookie security settings (SameSite=None) are more vulnerable. Shared hosting environments where multiple users share the same AVideo instance are also at increased risk, as an attacker could potentially exploit the vulnerability on behalf of another user.

• php: Examine web server access logs for suspicious POST requests to /admin/playerUpdate.json.php originating from unexpected IP addresses.

grep -i 'playerUpdate.json.php' /var/log/apache2/access.log | grep -i 'POST' | grep -v '127.0.0.1'

• php: Review AVideo configuration files for any instances of ignoreTableSecurityCheck() that might be disabling security checks.

grep -r ignoreTableSecurityCheck /var/www/avideo/

• generic web: Monitor for unusual changes in the video player's appearance across the platform, which could indicate a successful CSRF attack.

1. 2026-04-06Disclosure

   disclosure

1. 已保留2026-04-01
2. 发布日期2026-04-06
3. 修改日期2026-04-07
4. EPSS 更新日期2026-04-14

为了缓解 CVE-2026-35181 漏洞，建议立即升级到 AVideo 26.1 版本或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：实施严格的输入验证和输出编码，以防止恶意脚本注入。配置 Web 应用防火墙 (WAF) 以阻止包含恶意 CSRF 令牌的请求。限制对 admin/playerUpdate.json.php 接口的访问，仅允许授权用户访问。在升级后，请确认通过检查播放器皮肤配置是否被未经授权地修改来验证补丁是否有效。