CVE-2026-33296 CVSS 6.1 中危

CVE-2026-33296 AVideo开放重定向漏洞

披露日期: 2026-03-22

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33296

漏洞类型

开放重定向

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

WWBN AVideo

漏洞概述

WWBN AVideo是一个广泛使用的开源视频平台。在26.0版本之前，该系统在登录流程中被发现存在开放重定向漏洞。由于应用程序未能对用户提供的redirectUri参数进行JavaScript安全编码，直接将其反射到document.location赋值语句中。当用户完成登录操作后，定时器回调会使用该未经验证的值执行跳转。攻击者可利用此缺陷将受害者重定向至恶意网站，结合钓鱼攻击窃取用户凭证。

技术细节

该漏洞的根本原因在于应用程序未对重定向目标进行严格的同源校验和安全编码。在WWBN AVideo的登录流程中，系统接收用户提交的redirectUri参数，并在未经过滤的情况下将其传递给前端JavaScript。代码逻辑中存在一个定时器回调机制，专门用于在用户完成登录弹窗流程后执行页面跳转。具体利用方式是，攻击者构造包含恶意URL参数的特制链接（例如https://avideo-site/login?redirectUri=https://evil.com）。当受害者点击该链接并输入凭据完成登录后，JavaScript定时器触发，解析redirectUri参数并执行document.location赋值。由于缺乏URL编码或白名单验证，浏览器会直接跳转至攻击者控制的恶意站点，从而实施钓鱼攻击或窃取敏感Token。

攻击链分析

STEP 1

步骤1：准备攻击

攻击者分析目标登录流程，发现redirectUri参数未过滤，并构造包含恶意重定向URL的钓鱼链接。

STEP 2

步骤2：传递链接

攻击者通过电子邮件或社交媒体将特制链接发送给目标受害者，诱导其点击。

STEP 3

步骤3：用户交互

受害者点击链接，访问正常的AVideo登录页面，并在弹窗中输入用户名和密码进行登录。

STEP 4

步骤4：触发漏洞

登录成功后，前端JavaScript定时器回调触发，读取redirectUri参数值并赋值给document.location。

STEP 5

步骤5：执行重定向

浏览器将受害者重定向至攻击者预设的恶意网站，此时用户可能以为自己仍在目标系统中，从而泄露凭证。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Proof of Concept for CVE-2026-33296 -->
<!-- Description: Open Redirect via redirectUri parameter -->

<!-- 1. Attacker crafts the malicious URL -->
<!-- https://target.com/login?redirectUri=https://attacker.com/phish -->

<!-- 2. Victim clicks the link and logs in -->

<!-- 3. The vulnerable JavaScript executes the redirect -->
<!-- document.location = getParameter('redirectUri'); -->

<!-- HTML Example for testing -->
<a href="https://target-site.com/login?redirectUri=https://evil.com">
    Click here to verify your account (Redirects to evil.com)
</a>

影响范围

WWBN AVideo < 26.0

防御指南

临时缓解措施

在未升级版本前，建议管理员监控登录流量中的异常重定向参数。用户应避免点击来源不明的登录链接，并在登录后确认浏览器地址栏的域名是否正确，以防被钓鱼网站窃取凭据。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表