CVE-2026-33649WWBN AVideo是一个开源视频平台，其26.0及以下版本存在严重的跨站请求伪造（CSRF）漏洞。问题源于`plugin/Permissions/setPermission.json.php`接口在处理状态变更时缺乏CSRF令牌验证，且应用显式设置`session.cookie_samesite=None`。未认证的攻击者可诱导管理员访问包含恶意`<img>`标签的页面，利用GET请求在后台静默修改用户组权限，将攻击者提升至接近管理员的权限级别。
该漏洞的核心在于`plugin/Permissions/setPermission.json.php`接口设计不当，它使用GET请求来处理修改用户组权限的关键状态变更，且未实施任何CSRF令牌验证。此外，应用程序显式设置`session.cookie_samesite=None`，这导致浏览器的同站策略无法阻止第三方网站发送用户的会话Cookie。攻击者利用这一点，可以构造一个简单的HTML页面，其中包含指向该接口的恶意`<img>`标签。当管理员用户在保持登录会话的情况下访问此攻击者控制的页面时，浏览器会自动解析`<img>`标签并向目标服务器发起GET请求，并附带上管理员的身份Cookie。服务器接收到请求后，误以为是管理员本人的合法操作，从而执行了权限更改。这使得攻击者能够将自己所在的用户组权限提升至接近管理员级别，严重威胁系统安全。