CVE-2026-35450: 信息泄露在 wwbn/avideo ≤26.0

该漏洞的关键在于 plugin/API/check.ffmpeg.json.php 接口的未授权访问。攻击者无需任何身份验证即可通过该接口获取 FFmpeg 远程服务器的连接状态信息。虽然该漏洞本身可能不会导致直接的代码执行，但泄露的配置信息可能被攻击者用于进一步的攻击尝试，例如尝试利用 FFmpeg 自身的漏洞，或者推断系统内部结构。如果 FFmpeg 配置包含敏感信息，例如密码或 API 密钥，则泄露的风险将显著增加。此漏洞的潜在影响范围取决于 FFmpeg 配置的敏感程度以及攻击者利用泄露信息的意图。

Organizations utilizing wwbn/avideo in environments where FFmpeg is used for media processing are at risk. This is particularly relevant for deployments with limited network segmentation or where the web server is exposed to the public internet. Shared hosting environments using wwbn/avideo are also at increased risk due to the potential for cross-tenant access.

• php: Examine web server access logs for requests to plugin/API/check.ffmpeg.json.php originating from unexpected IP addresses.

grep "/plugin/API/check.ffmpeg.json.php" /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr

• generic web: Use curl to test the endpoint's accessibility without authentication.

curl http://<your_avideo_server>/plugin/API/check.ffmpeg.json.php

• php: Review the plugin/API/ directory for other endpoints lacking authentication checks, particularly those related to system configuration or management.

1. 2026-04-04Disclosure

   disclosure

1. 已保留2026-04-02
2. 发布日期2026-04-04
3. 修改日期2026-04-07
4. EPSS 更新日期2026-04-14

最有效的缓解措施是立即升级 wwbn/avideo 至 26.1 或更高版本。如果升级会造成系统中断，可以考虑以下临时缓解措施：首先，限制对 plugin/API/check.ffmpeg.json.php 接口的访问，只允许授权用户访问。可以使用防火墙规则或 Web 应用防火墙 (WAF) 来实现此目的。其次，审查 FFmpeg 远程服务器的配置，确保不包含任何敏感信息。如果配置中包含敏感信息，请立即进行修改。最后，监控系统日志，查找任何异常活动，例如来自未知 IP 地址的对 plugin/API/check.ffmpeg.json.php 接口的访问尝试。升级后，确认漏洞已修复，可以通过访问 plugin/API/check.ffmpeg.json.php 接口并验证返回结果是否受到限制。