CVE-2026-33493WWBN AVideo是一个开源视频平台。在26.0及以下版本中，`objects/import.json.php`端点存在安全漏洞。该端点接受用户控制的`fileURI`参数，仅通过正则检查是否以`.mp4`结尾，缺乏必要的目录限制检查。这允许拥有上传权限的认证用户绕过限制，读取任意私有视频文件及相邻的文本文件，甚至删除服务器上的特定文件，导致严重的数据泄露和完整性破坏风险。
该漏洞源于`objects/import.json.php`文件对输入参数`fileURI`的验证不严。与经过加固的`listFiles.json.php`不同，后者使用`realpath()`结合目录前缀检查来限制路径必须在`videos/`目录下，而`import.json.php`仅使用正则表达式验证参数是否以`.mp4`结尾。攻击者可以通过在`fileURI`中插入`../`序列进行目录遍历攻击。虽然验证限制了扩展名，但攻击者可以利用该漏洞导入其他用户的私有视频文件到自己的账户（IDOR），或者利用文件操作逻辑读取与视频文件同目录下的`.txt`、`.html`、`.htm`等配置或日志文件。此外，如果Web服务器进程有写权限，攻击者还可以利用此机制删除目标文件，对系统完整性造成影响。